Cysic, BNB Smart Chain'de Yetkisiz Basılan 10 Milyon CYS Sonrası Köprüyü Durdurdu

Güncelleme 17:47 UTC: Arza yeni bir veri çerçevesi kazandırıyor: CoinMarketCap, dolaşımda yaklaşık 160,8 milyon CYS listeliyor. Bu da yetkisiz ihraç miktarının, projenin tokenomics'inde (token ekonomisi) referans verilen 1 milyarlık toplam arz yerine, neredeyse tüm dolaşan arzin boyutlarına ulaştığı anlamına geliyor.

Kara Liste, Basımın 76 Dakika Sonrasında 2,8 Milyon CYS'yi Dondurdu

Cysic, 17 Ekim Cumartesi günü bir saldırganın BNB Smart Chain üzerinde yetkisiz biçimde 10 milyon CYS basmasının ardından zincirler arası köprüsünü askıya aldı. Cysic Foundation, 18 Ekim Pazar günü X üzerinden yaptığı açıklamada, ön incelemenin köprünün arkasındaki bir veri tabanına yetkisiz erişimi tespit ettiğini ve saldırganın bu erişimi sahte basım mesajları göndermek için kullandığını belirtti. Projenin olay zaman çizelgesine göre yetkisiz basım 12:31:38 UTC'de gerçekleşti. Foundation'ın anlattığı mekanizma, köprünün mesaj işleme katmanına dayanıyor: bu tür bir köprü, bir ağdaki aktarım talimatlarını doğrulayıp diğer ağda karşılık gelen işlemleri onaylar; saldırganın tam olarak bu süreci manipüle ederek yeni CYS oluşturulmasını onaylattığı iddia ediliyor. Cysic, platformunu bilişim kaynaklarını koordine eden ve katılımcıları ödüllendiren merkeziyetsiz bir hesaplama ağı olarak tanımlıyor; CYS ise yönetişimi, hesaplama kaynaklarına erişimi ve donanım sağlayıcılarına yapılacak ödemeleri destekliyor. Saldırı, son dönemde 90 günde 1,72 milyon tokenize edilmiş hisse sahibi kazanmış olan BNB Smart Chain üzerinde yaşandı.

Köprü olayları ölçeğinde hız sayılabilecek bir müdahale söz konusu. Ekip, kayıtlı basımdan 1 saat 16 dakika 14 saniye sonra, 17 Ekim'de 13:47:52 UTC'de alıcı adresi token sözleşmesinin kara listesine ekledi ve orada bekleyen yaklaşık 2,8 milyon CYS'nin aktarımını engelledi. Foundation, ana ağ operasyonlarının ve diğer sistemlerin etkilenmediğini, MetaMask'i BNB Smart Chain'e bağlayarak ulaşan ağ dahil mevcut kullanıcı cüzdanlarından hiçbir varlığın çıkarılmadığını duyurdu. Askıya alma, soruşturma token hareketlerini izlerken etkilenen servis üzerinden yeni işlemleri durdurmak amacıyla yapılıyor; yeniden açılış için bir tarih verilmedi. Veri tabanına nasıl erişildiği, hangi zafiyetin kullanıldığı ve hangi işlemlerin basımı tetiklediği hâlâ açıklanmadı; duyuruyla birlikte bağımsız bir adli analiz raporu da gelmedi.

Basım, 1 Milyarlık Arzın Yüzde 1'ine Denk Geliyor

Dondurulan cüzdan, açıklanan 10 milyon tokenlık rakam referans alındığında yetkisiz ihraçın yüzde 28'ini oluşturuyordu. Kalan 7,2 milyon token kara listeye alınan adreste bulunmuyordu ve bu eksiklik, kaç tanesinin satıldığını, başka yere taşındığını, geri kazanıldığını ya da başka kripto paralara çevrildiğini kanıtlamıyor. Cysic, donmuş cüzdan dışında herhangi bir token için tamamlanmış bir geri kazanım bildirmedi; soruşturmacılar gerçek finansal boyutu ortaya çıkarmak için transferleri izliyor ve olası takasları inceliyor. Proje dolar bazlı bir rakam paylaşmaktan da kaçındı: olay raporu, oluşturulan token sayısını saldırganın tamamlanan işlemlerle elde edebileceği değerden ayırıyor. Piyasa fiyatı üzerinden yapılan bir hesap ancak yeni arzin nominal değerini tahmin ederdi; birinin CYS ticaret piyasalarının yoğun likiditesine gerçekte ne kadar satabileceğini değil.

Ölçeği değerlendirmenin en kolay yolu, tokenın kendi tasarımına bakmak. Cysic'in yayımladığı tokenomics verilerine göre toplam arz 1 milyar CYS; yani yetkisiz basım bu rakamın yüzde 1'ine denk geliyor. Dağılım şöyle: yüzde 40,19 ekosistem teşviklerine, yüzde 23,62 yatırımcılara, yüzde 12,11 katkıcılara, yüzde 8 vakıf hazinesine, yüzde 16,08 topluluk teşvikleri ve likiditeye. Kullanıcılar CYS stake ederek projenin devredilemeyen yönetişim tokenını olan CGT kazanabiliyor; bu token protokol önerilerini, doğrulayıcı seçimini ve ekonomik parametre kararlarını kapsıyor. Hesaplama sağlayıcıları ise CYS kullanarak sıfır bilgi kanıtı üretimi ve yapay zekâ iş yükleri için kapasite ayırt ediyor. Köprü zafiyetleri üzerinden yetkisiz basım 2026 boyunca tekrarlandı: The Sandbox'in SAND olayı, yaklaşık 675.000 dolarlık doğrulanmış boşaltma karşısında 329 trilyon teminatsız token üretmişti. PeckShield ise 13 Ekim Salı günkü Autheo saldırısında 19 milyon THEO basıldığını ve bunların yaklaşık 700,8 ETH'ye çevrildiğini bildirdi. Cysic'in soruşturması henüz karşılaştırılabilir bir rakam vermiş değil.

Foundation, Sunday (Pazar) günü yayımladığı olay raporunda, soruşturmayı yürütmek için ismi açıklanmayan bir güvenlik firmasıyla çalıştığını ve mevcut aşama sona erdiğinde bir izleme raporu planlandığını duyurdu. Ekip, saldırının köprünün mesaj işleme ve basım bölümüyle sınırlı kaldığını, mevcut kullanıcı cüzdanlarından hırsızlık ya da yetkisiz aktarım yaşanmadığını yeniden belirtti ve 10 milyonluk basım miktarının tek başına son dolar kaybını göstermediğini, aktarımların, takasların ve gerçek kazançların hâlâ inceleme altında olduğunu vurguladı. Arza dair yeni bir veri de çerçeve kazandırıyor: CoinMarketCap, dolaşımda yaklaşık 160,8 milyon CYS listeliyor; bu da yetkisiz ihraç miktarının 1 milyarlık toplam arzla değil, fiilen tüm dolaşan arzla yarışır boyutta olduğu anlamına geliyor.

Hâlâ Hesaplanmamış Olan 7,2 Milyon Token

Buradaki zincir üstü kayıt alışılmadık biçimde temiz: 12:31:38 UTC'deki basım ve yaklaşık 76 dakika sonraki kara liste işlemi, her ikisi de BNB Smart Chain üzerinde doğrudan doğrulanabilir durumda. Yani müdahale rakamı ekibin beyanına dayanmıyor. Foundation'ın ön analizine göre kök neden, veri tabanı erişim kontrollerinde ve köprü protokolünün mesaj işleme mantığında yatıyor. Müdahalenin değiştirdiği şey kapsam: basımın yüzde 28'i donduruldu, köprü çevrimdışı ve ana ağın ayakta kaldığı bildirildi. Yanıtlanmamış olan ise diğer 7,2 milyon token; doğrulanmış bir dökümü, tamamlanmış bir geri kazanımı ve nicelleştirilmiş bir kazanç hesabı yok. BNB Chain üzerindeki akışların izlenmesi hâlihazırda yürüyen bir uğraş; CZ'nin topluluğu 92,9 milyon dolarlık Ledger bayi boşaltmasını izlemeye çağırmasından bu yana durum böyle. Foundation'ın yayımlamayı planladığı izleme raporu, bu aşamada bir bulgudan çok bir niyet olarak duruyor.