Cysic a suspendu son bridge après la création non autorisée de 10 millions de CYS sur BNB Smart Chain. Son rapport préliminaire du 18 octobre 2026 situe l’incident la veille. L’équipe annonce avoir restreint les transferts d’environ 2,8 millions de CYS encore présents sur l’adresse concernée. Toutefois, le bilan financier définitif reste à établir.

Une faille dans le traitement des messages du bridge

Un bridge, ou pont interchaînes, permet d’organiser des transferts entre des réseaux distincts. Il doit vérifier les instructions avant d’autoriser les opérations correspondantes. Selon les premières conclusions de la fondation, l’attaquant aurait obtenu un accès non autorisé à une base de données utilisée par les services du bridge. Une faille de traitement lui aurait ensuite permis de soumettre un message frauduleux autorisant la création de jetons.

La fondation situe le périmètre de l’incident dans le traitement des messages et la création de CYS par le bridge. Elle indique que le réseau principal et les actifs déjà détenus dans les portefeuilles des utilisateurs n’ont pas subi de vol. Ces déclarations décrivent les conclusions initiales de l’équipe ; elles ne constituent pas un audit indépendant achevé.

10 millions de CYS créés, 2,8 millions restreints

La chronologie publiée situe la création frauduleuse au 17 octobre à 12 h 31 min 38 s UTC, soit 14 h 31 min 38 s à Paris. L’adresse destinataire a rejoint la liste de blocage du contrat à 13 h 47 min 52 s UTC. Cela correspond à 15 h 47 min 52 s à Paris, 1 heure, 16 minutes et 14 secondes après l’émission.

Environ 2,8 millions de CYS restaient alors sur cette adresse. La restriction porte sur ces jetons ; elle ne prouve pas la récupération du reste des fonds. Il faut également distinguer le nombre de jetons créés, leur valeur théorique au cours du marché et les montants effectivement obtenus après d’éventuelles ventes.

Les pertes et la réouverture restent à préciser

Cysic annonce une enquête avec une société de sécurité externe pour reconstituer l’attaque et suivre les mouvements. Le bridge doit rester fermé jusqu’à l’achèvement de la revue de sécurité. Le rapport initial ne fixe pas de date de réouverture ni de montant définitif des pertes.

La prochaine publication devra donc préciser le chemin technique de l’intrusion, le parcours des jetons et les conséquences financières vérifiées. Pour les utilisateurs, l’absence annoncée de vol dans les portefeuilles n’efface pas les risques liés au service interrompu ou aux échanges du jeton.

🔍 Avis de DUC

Je retiens surtout la dépendance du bridge à son infrastructure de traitement. La sécurité d’un réseau ne suffit pas à garantir celle de ses connexions externes. En Bref : bloquer une adresse constitue une mesure de limitation, pas un bilan de récupération. Les conclusions techniques finales et les conditions de reprise seront les éléments décisifs.

✍️ DUC
📌 Source : Cysic Foundation — rapport d’incident du 18 octobre 2026