Der Cysic-Angreifer verkaufte 7,2 Millionen unbefugt erzeugte Token binnen einer halben Stunde nach dem Minting und zog mit etwa 727.000 US-Dollar in Ether ab, ergibt eine Auswertung von The Block

Die am Morgen offene Frage zum Exploit der Cysic-Bridge, wohin die fehlenden 7,2 Millionen CYS gingen, ist beantwortet: Sie wurden binnen einer halben Stunde verkauft, und das Geld liegt in Ether. The Block verfolgte die empfangende Adresse auf der BNB Smart Chain und stellte fest, dass sie etwa fünf Minuten nach dem unbefugten Minting am Samstag um 8:31 Uhr ET begann, Token zu bewegen. Zwischen 8:36 und 8:41 Uhr verkaufte sie 5,65 Millionen CYS in 11 Transaktionen für 588.315 USDT, etwa 0,10 US-Dollar je Token, und zwischen 8:57 und 8:59 Uhr weitere 1,55 Millionen für etwa 220 BNB. Zwölf der 15 Verkäufe liefen über den DEX-Aggregator von OKX, der sie auf Börsen wie PancakeSwap verteilte.

Ebenso schnell ging die Auszahlung. Ab 8:44 Uhr wurden die USDT und BNB über drei Bridges, SWFT, Mayan und deBridge, geschleust, und bis 9:06 Uhr waren etwa 306,6 ETH auf Ethereum angekommen, rund 727.000 US-Dollar wert beim Ether-Kurs vom Sonntag von etwa 2.372 US-Dollar. Bis 9:11 Uhr waren 306,52 ETH an eine zweite Wallet weitergewandert, die etwa zwei Stunden vor dem Minting mit Guthaben ausgestattet worden war und am Sonntagmorgen etwa 309,5 ETH hielt.

Cysic setzte die Adresse des Angreifers um 9:47 Uhr ET auf eine Sperrliste, 76 Minuten nach dem Exploit und 48 Minuten nach Ende der Verkäufe, und fror damit die 2,8 Millionen CYS ein, die noch dort lagen. Diese Sperrliste gilt nur für CYS auf der BNB Chain, nicht für den Ether. In seinem Bericht zu dem Vorfall erklärte Cysic, der Angreifer habe sich „unbefugten Zugriff auf eine Datenbank verschafft“, die von Diensten zur Unterstützung der Bridge genutzt wird, und bestehende Vermögenswerte von Nutzern seien nicht gestohlen worden. Nach eigenen Angaben stellt die Zahl der erzeugten Token für sich genommen nicht den endgültigen Verlust in US-Dollar dar; Cysic hat ein nicht namentlich genanntes Sicherheitsunternehmen mit der Untersuchung beauftragt und hält die Bridge geschlossen, bis eine Prüfung abgeschlossen ist; ein Bericht über die verifizierten Verluste soll folgen.