Cysicは、BNB Smart Chain上でCYSが不正発行された事案を受け、クロスチェーンブリッジを停止しました。 公式発表が確認しているのは、不正な発行メッセージ、ブリッジ用データベースへの不正アクセスの疑い、残存トークンの移転制限です。 一方、Ethereumへ約72万7,000ドル相当が移動したとの金額はThe Blockのオンチェーン分析による報道値で、Cysicは最終損失額を確定していません。
Cysicブリッジで何が起きたのか
Cysic Foundationのインシデント報告によると、2026年10月17日、BNB Smart Chain上で1,000万CYSが権限なく発行されました。予備調査では、ブリッジを支えるデータベースへの不正アクセスに続き、正規の裏付けを欠く発行メッセージが送信された可能性が示されています。Cysicはクロスチェーンブリッジを停止し、外部のセキュリティ企業を交えた調査を始めました。
Cysic公式ドキュメントでは、通常のブリッジ処理は送信元でトークンをロックまたはバーンし、バリデーターが処理を確認した後、送信先でトークンを発行またはアンロックする流れです。今回の事案は、こうした正常な資産移動に対応しないメッセージが発行処理へ到達した点が問題です。単なる送金ミスではなく、クロスチェーン通信と発行権限の境界が破られた疑いがあります。
Cysicは、影響がブリッジのメッセージ処理と発行部分に限定され、Cysic mainnetや他の稼働システムには影響していないと説明しています。また、既存のユーザーウォレットからCYSや他資産が盗まれた事案ではないとしています。ただし、これはブリッジ由来の不正発行が無害だったという意味ではありません。市場へ流出したCYSの範囲や交換先は、別途追跡が必要です。
不正発行からアドレス制限までの経緯
Cysicの公式報告では、不正発行は10月17日12時31分38秒（UTC）に発生しました。運営は同日13時47分52秒（UTC）に受取アドレスをCYSコントラクトのブラックリストへ追加し、移転を制限しました。その時点で約280万CYSが当該アドレスに残っていたとされています。
この対応により残存分の移動は抑えられましたが、ブラックリスト登録より前に移転・売却された分まで自動的に回収できたわけではありません。BNB Smart Chainのトークンコントラクト上でアドレスを制限する措置と、Mayan、deBridge、SWFTのBridgersなどを通じて別チェーンへ移った資産の追跡は、技術的にも運用上も別の問題です。
時系列から分かるのは、検知後の停止だけでなく、異常な発行メッセージを実行前に拒否する制御が重要だということです。Cysicが今後公開するとしている追加報告では、データベースの認証方式、メッセージ署名の検証、発行上限、異常検知から停止までの手順が焦点になります。現時点では原因調査中であり、特定の鍵管理方式や内部者関与を推測で断定すべきではありません。
約72万7,000ドル移動との報道をどう読むか
The Blockはオンチェーン記録を基に、不正発行されたCYSの一部が売却され、Mayan、deBridge、SWFTのBridgersを経由してBNB Smart Chain外へ移され、Ethereum側で306.6 ETHを受け取ったと報じました。同社はその価値を約72万7,000ドルと算定しています。これは資金移動を追った報道上の推計であり、Cysic Foundationが認定した最終損失額ではありません。
Cysic自身も、発行量だけからドル建て損失を確定できないと注意しています。市場で売却できた数量、スワップ時の価格、手数料、途中アドレスに残る資産、凍結や回収の可否を確認しなければ、最終的な経済損失は決まりません。したがって「1,000万CYSが発行された」ことと「同数量すべてが換金された」ことは分けて読む必要があります。
MayanやdeBridgeの名称が資金経路として挙がっていても、それだけで各プロトコルに脆弱性があったとは結論づけられません。今回公表された中心的な問題は、Cysic側ブリッジのメッセージ処理と発行です。経路に使われたサービスと、侵害されたシステムを混同しないことが、インシデント分析の基本です。
クロスチェーンブリッジ特有のリスク
Uniswapのような単一チェーン上のDEXでは、ユーザーは同じチェーン上の流動性プールと直接取引します。これに対しCysicのブリッジは、Cysic chainとBNB Smart ChainやBaseとの間で状態を伝え、送信先で資産を発行または解放します。この構造では、送信元のロック、メッセージ生成、署名確認、送信先の発行という複数の境界が安全でなければなりません。
今回のようにメッセージ処理が攻撃対象になると、送信先チェーンのコントラクトが正しく動作していても、入力された命令自体が偽造されている可能性があります。つまり「スマートコントラクトが停止していない」「mainnetが正常にブロックを生成している」という事実だけでは、ブリッジ資産の裏付けまで保証できません。
また、不正発行トークンがPancakeSwapなどBNB Smart Chain上のDEXへ持ち込まれれば、流動性提供者や通常の購入者が価格下落や不正資産との交換に巻き込まれる恐れがあります。ここで重要なのは、特定DEXで実際にどこまで売却されたかを未確認のまま断定しないことです。利用者はCYSのコントラクトアドレス、取引相手、ルート、承認トランザクションを個別に確認する必要があります。
CYS保有者とDeFi利用者が取るべき対応
第一に、Cysic公式のブリッジが停止中である間は、ブリッジ再開を装うサイトや補償申請ページへウォレットを接続しないことです。Cysic公式アプリと公式Xの告知を照合し、DMで届くリンクや検索広告だけを入口にしないでください。秘密鍵やシードフレーズを求める補償手続きは利用すべきではありません。
第二に、BNB Smart ChainやBaseでCYSを扱う場合は、ウォレットに表示されたシンボル名だけで判断せず、Cysic公式ドキュメントやブロックエクスプローラーでコントラクトアドレスを照合します。PancakeSwapやUniswapの画面にトークンが表示されても、発行経路や裏付けが正当であることを自動的に意味しません。流動性が薄い状況では、表示価格と実際の約定価格が大きくずれる点にも注意が必要です。
第三に、CYSを担保として受け入れるレンディング市場や、CYSを含む流動性プールを利用している場合は、担保係数、清算条件、オラクルの参照価格、出金可否を確認します。Aaveや他のレンディングプロトコルを例にしても、資産ごとの対応状況は市場単位で異なります。CYSが対応済みだと推測せず、実際の市場一覧とガバナンス決定を確認することが必要です。
最後に、送金済みの利用者はトランザクションハッシュを保存し、Cysicの公式サポートが示す窓口以外へ個人情報を送らないようにします。ブリッジ画面の「pending」「processing」といった表示だけで再送すると、重複取引や追加手数料につながる可能性があります。
今後の調査で確認すべきポイント
Cysicの追加報告では、侵入経路と影響範囲の確定が最優先です。具体的には、不正アクセスを受けたデータベースの権限、偽メッセージがバリデーター署名の確認を通過した仕組み、同種メッセージの有無、発行済みCYSの処理方針、ブリッジ再開条件を確認する必要があります。
次に、Cysic Foundationが公表する最終損失額と、The Blockが追跡したEthereum上の資金経路を照合する必要があります。306.6 ETHという報道値が、攻撃者の最終保有額、途中の受取額、あるいは複数ルートの合計なのかで意味は変わります。回収・凍結・返還があれば、損失額も更新されます。
さらに、Mayan、deBridge、SWFTのBridgersが経路として使われた点について、各サービスから公式な対応やアドレス制限の発表が出るかも注目点です。ただし、経路提供者に障害があったとの証拠がない段階で、Cysicの発行処理の問題を他プロトコルへ転嫁してはいけません。監査報告や事後検証が公開されるまでは、確認済み事実と仮説を分けて扱う必要があります。
まとめ
Cysicは、BNB Smart Chain上での1,000万CYSの不正発行を受け、クロスチェーンブリッジを停止しました。公式発表では、ブリッジ用データベースへの不正アクセスと偽の発行メッセージが予備的な原因として示され、約280万CYSの残存分は対象アドレスで移転制限されています。
The Blockは、Mayan、deBridge、SWFTのBridgersを経由し、Ethereumへ約72万7,000ドル相当が移ったと報じました。ただしCysicは最終損失額を確定しておらず、報道上の追跡額と公式な損害認定は分けて理解すべきです。利用者は、公式ブリッジの再開告知、コントラクトアドレス、保有ポジションの清算条件を確認し、不審な補償リンクや再送要求を避ける必要があります。
