Взлом моста Cysic: газ атакующему пришёл с операторского кошелька стейкинга самого Cysic, а все 306,5 ETH лежат на одном адресе

Cysic остановил свой кросс-чейн мост после того, как в BNB Chain без соответствующего депозита было выпущено 10 млн CYS (0x0c69199c1562233640e0db5ce2c399a88eb507c7). Фонд Cysic сообщил, что по предварительным данным причина — несанкционированный доступ к базе данных, обслуживающей мост, вместе с ошибкой в обработке сообщений, и что средства пользователей не украдены. 18 октября The Block проследил выручку: продано 7,2 млн CYS, около 306,6 ETH переведено в Ethereum, эфир отправлен на второй кошелёк.

Мы прочитали те же кошельки 19 октября 2026 года и подтверждаем эти цифры. Ниже — то, что добавляет блокчейн.

Транзакцию выпуска отправил в контракт моста 0x1ab77F94a46782c203b427b0aa5e6801870239fA адрес 0x373f11B24a5B163DA54900342c438A01e0143944. Это не атакующий: это релейер, который подписывает все обычные выводы из моста — и 17 октября, и раньше. Он получил поддельную инструкцию и выполнил её как любую другую. Это совпадает с версией Cysic: атака шла через данные за мостом, а не через украденный ключ моста.

10 000 000 CYS ушли на 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 — адрес без всякой истории до того дня. В 13:47:52 UTC транзакция блокировки заморозила 2,8 млн, которые он не успел продать.

Новому адресу нужно немного BNB, чтобы оплатить первые транзакции. Атакующий получил 0,01 BNB в 12:32:42, через минуту после выпуска, с 0x2C60a77B808Efc4f0B049F6fB73060fC09034206, и 0,02 BNB в 12:34:49 с 0x874fe56cB7b4bB4B841D1A69F0b6C5AF039ce82F.

0x2C60a77B808Efc4f0B049F6fB73060fC09034206 — не случайный кошелёк. Уже 52 дня именно он вызывает административные функции «Slash Providers» и «Approve Unstakes» на 0xfA405509cC13809627C0b490A9E1E9ee170E7074 — контракте, где держатели CYS стейкают токены (на нём 37 220 CYS). Его пополнил 0,1 BNB кошелёк 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9, на котором 39 095 CYS и который управляет ликвидностью CYS; этот же кошелёк команды пополнял и 0x468B02Fa177FD91BaD91CB6d8525cD2A2066f1A8 — адрес, отправивший транзакцию блокировки.

И время: в 12:21:51 и 12:23:19, за десять и восемь минут до поддельного выпуска, операторский кошелёк отправил 0,04 BNB на 0x721fe1453b832f35403970aE11375c538B883C65 и 0,03 BNB на 0x874fe56cB7b4bB4B841D1A69F0b6C5AF039ce82F — два адреса, созданные в ту же минуту. Первый с тех пор ничего не делал; второй через три минуты после выпуска передал 0,02 BNB атакующему.

Значит, у того, кто снабдил атакующего газом, был ключ операторского кошелька Cysic, и он пользовался им ещё до выпуска. Блокчейн не говорит, украден ли этот ключ вместе с базой данных или им воспользовался кто-то с законным доступом. Но он показывает, что взлом затронул не только данные моста.

С 12:36 до 12:41 UTC атакующий продал 5,65 млн CYS за 588 315 USDT, в основном через DEX-роутер OKX, который разбивал заявки по пулам PancakeSwap. С 12:57 до 12:59 он продал ещё 1,55 млн CYS примерно за 220 BNB, уже по гораздо более низкой цене. Всего 7,2 млн CYS; остальные 2,8 млн заморозили раньше, чем он успел их продать.

Выручка ушла из BNB Chain через три сервиса: 100 000 USDT напрямую в контракт BridgersSwap от SWFT, 488 315 USDT и 80 BNB через Mayan семью заявками и 139 BNB через deBridge. Все три выплатили на один и тот же адрес в Ethereum, 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 (один ключ работает в обеих сетях): 40,88 ETH от SWFT, 224,66 ETH от Mayan, 41,05 ETH от deBridge — 306,59 ETH.

С 12:47 до 13:11 UTC он пятью переводами отправил 306,52 ETH на 0x1106De394da07e90b02161465EA0421B74DB4691. На этот кошелёк ещё пришли 3 ETH с постороннего активного адреса, и 19 октября на нём было 309,53 ETH. Он ни разу ничего не отправлял. В миксеры ничего не ушло.

Через несколько минут после каждого перевода десятки посторонних присылали на кошельки атакующего нулевые переводы, фальшивые токены «ETH» и пыль с адресов, у которых начало и конец совпадают с настоящими контрагентами: копии контракта BridgersSwap в BNB Chain, копии кошелька-хранилища в Ethereum. Это отравление адресов, рассчитанное на того, кто скопирует адрес из истории атакующего. Ни один из этих адресов к краже не относится.

Мы отметили в своей базе 2 адреса как принадлежащие атакующему: 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 в BNB Chain и Ethereum и кошелёк-хранилище 0x1106De394da07e90b02161465EA0421B74DB4691 в Ethereum. Кошелёк-хранилище поставлен на наблюдение; если эфир сдвинется, мы опубликуем.

Мы не отмечали операторский кошелёк Cysic, два новых кошелька, которые он пополнил, релейера, кошельки команды и мосты: блокчейн связывает их с атакой, но не показывает, кто управлял операторским ключом 17 октября.

Чтобы проверить адрес самостоятельно, воспользуйтесь проверкой адреса.

Она не говорит, кто атакующий, не утверждает, что кто-то из Cysic участвовал во взломе, и не утверждает, что OKX, PancakeSwap, SWFT, Mayan или deBridge сделали что-то неправильно. Суммы, мосты и кошелёк в Ethereum первым опубликовал The Block; доступ к базе данных — вывод самого Cysic. Вывод о релейере, газ с операторского кошелька стейкинга, два кошелька, пополненные до выпуска, и кошелёк команды, стоящий и за оператором, и за адресом блокировки, — наши, данные прочитаны 19 октября 2026 года.