توقف Cysic عن جسره بعد إصدار 10 ملايين رمز CYS دون تصريح على سلسلة BNB Smart Chain

القائمة السوداء تجمّد 2.8 مليون رمز CYS بعد 76 دقيقة من الإصدار

أوقف مشروع Cysic جسره بين السلاسل بعد أن تمكّن مهاجم من إصدار 10 ملايين رمز CYS دون تصريح على سلسلة BNB Smart Chain يوم السبت 17 أكتوبر. وفي بيان نشرته على X يوم الأحد 18 أكتوبر، قال مؤسسة Cysic إن تحقيقها الأولي حدّد وصولاً غير مصرّح به إلى قاعدة بيانات تخدم الجسر، استغله المهاجم لتقديم رسائل إصدار مزوّرة. وفق الجدول الزمني الذي وثّقه المشروع، وقع الإصدار غير المصرّح به في الساعة 12:31:38 بتوقيت UTC. ويكمن الخلل، بحسب وصف المؤسسة، في طبقة معالجة الرسائل لدى الجسر: فالجسر من هذا النوع يتحقق من تعليمات التحويل على شبكة واحدة قبل السماح بالنشاط المقابل على شبكة أخرى، ويُزعم أن المهاجم تلاعب بهذه العملية لتفويض إنشاء رموز CYS جديدة. تصف Cysic منصتها بأنها شبكة حوسبة لامركزية تنسّق موارد الحوسبة وتكافئ المشاركين فيها، ويدعم رمز CYS فيها الحوكمة والوصول إلى موارد الحوسبة والمدفوعات لمزوّدي العتاد. جاء الاستغلال على سلسلة BNB Smart Chain، التي شهد نموها الأخير إضافة 1.72 مليون حائز لأسهم مُرمّزة خلال 90 يوماً. وبقياس معايير حوادث الجسور، كان الاحتواء سريعاً: في الساعة 13:47:52 بتوقيت UTC يوم 17 أكتوبر، أي بعد ساعة و16 دقيقة و14 ثانية من الإصدار الموثّق، أضاف الفريق عنوان المستلم إلى القائمة السوداء في عقد الرمز، فمنع تحويل نحو 2.8 مليون رمز CYS ما زالت مستقرّة فيه. وقالت المؤسسة إن عمليات الشبكة الرئيسية والأنظمة الأخرى لم تتأثر، ولم يُسحب أي أصل من محافظ العملاء القائمة، بما في ذلك الحيازات على البلوكتشين الذي يصل إليه كثير من المستخدمين عبر ربط MetaMask بسلسلة BNB Smart Chain. ويهدف الإيقاف إلى منع أي نشاط إضافي عبر الخدمة المتأثرة بينما يتتبع المحققون حركة الرموز؛ ولم يُحدد موعد لإعادة فتحها. أما كيفية الوصول إلى قاعدة البيانات، والثغرة المستغلة، والمعاملات التي أطلقت الإصدار، فلا تزال غير معلنة، ولم يرافق الإعلان أي تقرير جنائي مستقل.

الإصدار يعادل 1% من الإمداد البالغ 1 مليار رمز

شكّلت المحفظة المتجمّدة 28% من الإصدار غير المصرّح به، بالاستناد إلى رقم 10 ملايين رمز المعلن كمرجع. أما الـ 7.2 مليون رمز المتبقية فلم تكن في العنوان الأسود، وهذا الغياب لا يثبت كم منها بيع أو نُقل إلى جهة أخرى أو استُرد أو حُوّل إلى عملات رقمية أخرى. ولم تُبلغ Cysic عن استرداد مكتمل لأي رموز خارج المحفظة المتجمّدة، ويتتبع المحققون التحويلات ويراجعون عمليات تبادل محتملة لتحديد الخسائر المالية الفعلية. وقد امتنع المشروع عن ذكر أي رقم بالدولار: إذ يفرّق تقرير الحادثة بين عدد الرموز المنشأة والقيمة التي قد يكون المهاجم قد حصل عليها عبر معاملات مكتملة، وحساب السعر السوقي لن يقدّر سوى القيمة الاسمية للإمداد الجديد، لا المبلغ الذي يمكن لأحد بيعه فعلياً في السيولة المركّزة لأسواق تداول CYS. ولم يُنشر أي إجمالي موثّق لعوائد المهاجم، ولا قائمة كاملة للمستلمين، ولا تقييم مستقل للأصول التي خرجت من النظام. الحجم أسهل في القياس مقارنة بتصميم الرمز نفسه: فالاقتصاد الرمزي المنشور من Cysic يضع الإمداد الإجمالي عند 1 مليار CYS، ما يجعل الإصدار غير المصرّح به معادلاً لـ 1% من ذلك الرقم. وتُوزّع الحصص على النحو التالي: 40.19% لحوافز النظام البيئي، و23.62% للمستثمرين، و12.11% للمساهمين، و8% لخزينة المؤسسة، و16.08% لحوافز المجتمع والسيولة. ويمكن للحائزين تثبيت CYS لتلقي CGT، وهو رمز الحوكمة غير القابل للتحويل في المشروع، الذي يغطي مقترحات البروتوكول واختيار المدققين وقرارات المعايير الاقتصادية، فيما يستخدم مزوّدو الحوسبة رمز CYS لحجز الطاقة اللازمة لتوليد إثباتات المعرفة الصفرية وأعباء الذكاء الاصطناعي. وقد تكرر الإصدار غير المصرّح به عبر ثغرات الجسور طوال عام 2026: فحادثة SAND في The Sandbox أنتجت 329 تريليون رمز بلا دعم مقابل خسارة مؤكدة نحو 675,000 دولار، وأبلغ PeckShield عن إصدار 19 مليون رمز THEO في استغلال Autheo يوم الثلاثاء 13 أكتوبر، بُدّلت بما يقارب 700.8 ETH. وتحقق Cysic لم يُنتج بعد رقماً مماثلاً.

الـ 7.2 مليون رمز ما تزال بلا حساب موثّق

السجل على السلسلة في هذه الحالة نظيف بشكل غير معتاد: فالإصدار في الساعة 12:31:38 بتوقيت UTC ومعاملة القائمة السوداء بعد نحو 76 دقيقة كلاهما قابل للتحقق مباشرة على سلسلة BNB Smart Chain، ما يعني أن رقم الاحتواء لا يستند وحده إلى كلام الفريق. والسبب الجذري، بحسب التحليل الأولي للمؤسسة، يكمن في ضوابط الوصول إلى قاعدة البيانات ومنطق معالجة الرسائل في بروتوكول الجسر. ما غيّره الرد هو النطاق: 28% من الإصدار مجمّدة، والجسر خارج الخدمة، والشبكة الرئيسية محفوظة على ما يُقال. أما ما لم يحسمه فهو الـ 7.2 مليون رمز الأخرى، التي لا حساب موثّق لها، ولا استرداد مكتمل، ولا عوائد مُقدّرة كمياً. وتتبع التدفقات على سلسلة BNB هو أصلاً ممارسة جارية، كما حين دعا CZ المجتمع إلى تتبع خسارة بقيمة 92.9 مليون دولار في تصريف متاجر إعادة بيع محافظ Ledger. أما تقرير المتابعة الذي تنوي المؤسسة نشره، فيظل في هذه المرحلة نيةً لا نتيجةً.