Cysic bị tấn công cầu nối: 10 triệu CYS bị đúc trái phép trên BNB Chain, người nắm giữ cần kiểm tra gì

Diễn biến theo báo cáo chính thức của Cysic

Nguồn chính là bài "Cysic Incident Report" do Cysic Foundation đăng trên X ngày 18/10/2026. Bảng dưới đây ghi giờ UTC và giờ Việt Nam (UTC+7):

Theo kết quả điều tra sơ bộ của Cysic, kẻ tấn công đã truy cập trái phép vào một cơ sở dữ liệu mà các dịch vụ hỗ trợ cầu nối sử dụng, rồi khai thác lỗ hổng trong logic xử lý để gửi một thông điệp đúc token giả mạo. Nói đơn giản: cầu nối bị lừa để tạo ra token mới trên BNB Smart Chain trong khi không có lượng token tương ứng bị khóa ở chuỗi bên kia. Toàn bộ đường đi của cuộc tấn công và nguyên nhân gốc vẫn đang được điều tra.

Cysic khoanh vùng thiệt hại bằng ba điểm:

• Mạng chính không bị ảnh hưởng. Theo báo cáo, cơ chế đồng thuận, sản xuất khối, xác nhận giao dịch và thực thi EVM của mạng Cysic nằm ngoài phạm vi sự cố.
• Số dư sẵn có không bị lấy cắp. Sự cố không dẫn đến việc đánh cắp hay chuyển trái phép CYS hoặc tài sản khác đang có trong ví người dùng.
• Cầu nối vẫn đóng. Dịch vụ chuyển chuỗi qua cầu nối này tạm ngừng và chỉ mở lại sau khi rà soát bảo mật toàn diện; thông tin mở lại sẽ được công bố qua kênh chính thức.

10 triệu CYS là bao nhiêu so với nguồn cung

Trang tokenomics của Cysic ghi tổng cung là 1.000.000.000 CYS, nên lượng đúc trái phép bằng 1% tổng cung. Con số đáng chú ý hơn là lượng đang lưu hành: lúc 12:48 UTC ngày 18/10, CoinGecko ghi nhận 160,8 triệu CYS lưu hành, tức lượng bị đúc tương đương khoảng 6,2% lượng lưu hành.

Với giá CoinGecko cùng thời điểm là 0,1164 USD, 10 triệu CYS có giá trị khoảng 1,16 triệu USD. Đây chỉ là phép nhân của chúng tôi trên một mức giá chụp nhanh, không phải con số thiệt hại. Cysic nhấn mạnh rằng số lượng token bị đúc tự nó không phản ánh thiệt hại cuối cùng tính bằng USD, và việc token đã bị chuyển hay hoán đổi ra sao vẫn đang được xem xét.

Điều có thể suy ra từ báo cáo: khi lệnh phong tỏa có hiệu lực, địa chỉ của kẻ tấn công còn khoảng 2,8 triệu CYS. Như vậy khoảng 7,2 triệu CYS đã rời địa chỉ này trước khi bị chặn. Số token đó đi đâu và bao nhiêu đã bị bán là câu hỏi mà báo cáo tiếp theo của Cysic sẽ phải trả lời.

Về giá tại cùng thời điểm trên CoinGecko: trong 24 giờ trước đó CYS dao động từ 0,109 đến 0,132 USD, tăng khoảng 2,6% trong ngày nhưng giảm khoảng 22,5% sau bảy ngày. Mức giảm bảy ngày kéo dài hơn cả sự cố này, vì vậy không nên quy toàn bộ biến động giá cho vụ tấn công.

Nếu bạn đang nắm giữ CYS

CYS nằm trong ví tự quản của bạn: theo Cysic, số dư sẵn có không bị động đến. Bạn không cần chuyển token đi đâu để tránh sự cố này; việc chuyển qua chuyển lại trong lúc đang có sự cố còn tạo thêm rủi ro.

Không dùng cầu nối. Cầu nối đã đóng. Bất kỳ trang web hay tin nhắn nào mời bạn "chuyển chuỗi", "di chuyển token", "nhận bồi thường" hoặc "xác minh tài sản" CYS vào lúc này đều đáng ngờ. Cysic cho biết cập nhật chỉ được đăng qua kênh chính thức.

Kiểm tra trạng thái nạp trước khi gửi CYS lên sàn. KuCoin đã tạm dừng nạp CYS và nói sẽ không ra thông báo riêng khi dịch vụ hoạt động trở lại. Theo CoinGecko, CYS còn được giao dịch trên nhiều sàn tập trung khác như Bitget, Gate, MEXC, Upbit và Bithumb. Tại thời điểm viết bài, chúng tôi chưa thấy thông báo liên quan đến việc nạp CYS từ các sàn này trong nguồn thông báo chính thức mà chúng tôi theo dõi, nhưng điều đó không có nghĩa là việc nạp chắc chắn đang mở. Hãy xem trang nạp của đúng mạng lưới bạn định dùng trước khi gửi, và kiểm tra mạng lưới khớp nhau: CoinGecko ghi nhận hợp đồng CYS trên BNB Smart Chain và Base.

Nếu bạn giao dịch CYS trên sàn, hãy chuẩn bị cho chênh lệch giá mua bán rộng hơn và những cú biến động đột ngột trong lúc chưa có con số thiệt hại. Giữ khối lượng nhỏ, tránh dùng đòn bẩy với một token đang bị điều tra, và đặt trước mức giá bạn chấp nhận.

Vì sao cầu nối chuỗi chéo liên tục bị tấn công

Cầu nối là một lời cam kết: token được đúc trên chuỗi này phải có token tương ứng bị khóa ở chuỗi kia. Nếu kẻ tấn công giả mạo được thông điệp "token đã được khóa", cầu nối sẽ đúc ra token mới mà phía sau không có gì bảo chứng. Trường hợp của Cysic đúng như vậy: kẻ tấn công không phá hợp đồng CYS, cũng không phá mạng Cysic, mà xâm nhập vào hệ thống ngoài chuỗi chuyên chuyển thông điệp cho cầu nối.

Có hai yếu tố giúp thiệt hại không lan rộng hơn. Hợp đồng CYS trên BNB Smart Chain có chức năng danh sách đen, nhờ đó Cysic phong tỏa được số token còn lại ở địa chỉ kia. Và Cysic đóng cầu nối khá nhanh. Cả hai đều là công cụ kiểm soát tập trung: lần này chúng có ích, nhưng người nắm giữ cũng nên biết rằng bên phát hành có khả năng hạn chế địa chỉ.

Theo dõi tiếp ở đâu

Vài ngày tới nên xem là giai đoạn chờ thông tin. Mọi thay đổi quan trọng sẽ đến từ báo cáo tiếp theo của Cysic và thông báo nạp, rút của từng sàn. Khi một token riêng lẻ gặp sự cố, cũng nên nhìn bức tranh chung: bảng thanh lý 24 giờ cho thấy thị trường có đang xả đòn bẩy hàng loạt hay không, còn trang tin tức cập nhật các thông báo tạm dừng và mở lại dịch vụ của các sàn.

Những điều chúng tôi chưa thể xác minh

• Thiệt hại cuối cùng tính bằng USD và số lượng đã bị bán trong khoảng 7,2 triệu CYS bị chuyển đi; Cysic nói vẫn đang xem xét.
• Các sàn ngoài KuCoin có thay đổi trạng thái nạp hoặc rút CYS hay không.
• Thời điểm cầu nối mở lại; Cysic chưa đưa ra ngày cụ thể.

Hỏi nhanh

Ví của người nắm giữ CYS có bị rút sạch không? Không, theo Cysic: CYS và tài sản khác có sẵn trong ví người dùng không bị đánh cắp hay chuyển trái phép.

Mainnet của Cysic có an toàn không? Cysic cho biết mạng chính không bị ảnh hưởng; sự cố chỉ giới hạn ở chức năng xử lý thông điệp và đúc token của cầu nối.

Bây giờ có nạp CYS lên KuCoin được không? Chưa. KuCoin tạm dừng nạp CYS từ ngày 18/10 và sẽ không ra thông báo riêng khi mở lại, vì vậy hãy xem trang nạp.

Bao nhiêu CYS đã bị phong tỏa? Khoảng 2,8 triệu CYS còn ở địa chỉ của kẻ tấn công đã bị danh sách đen hạn chế chuyển.

Khi nào cầu nối mở lại? Chỉ sau khi Cysic hoàn tất rà soát bảo mật; hiện chưa có ngày cụ thể.