Sıfır bilgi (ZK) kanıtları için donanım ve hesaplama ağı geliştiren Cysic, zincirler arası köprüsünde yaşanan güvenlik olayının ardından köprüyü kapalı tutuyor. Proje vakfı Cysic Foundation’ın 18 Ekim’de X’te yayımladığı olay raporuna göre 17 Ekim Cumartesi günü, Türkiye saatiyle 15:31’de, BNB Smart Chain üzerinde yetkisiz şekilde 10 milyon CYS basıldı. Ekip, tokenların gönderildiği adresi yaklaşık bir saat on altı dakika sonra token sözleşmesinde kara listeye aldı. O adreste kalan yaklaşık 2,8 milyon CYS artık hareket ettirilemiyor.
Vakfa göre olay köprünün mesaj işleme ve basım (mint) işlevleriyle sınırlı kaldı; Cysic ana ağı da kullanıcı cüzdanlarındaki mevcut CYS’ler de etkilenmedi. Gerçek zararın büyüklüğü ise belli değil ve ekip, basılan token sayısının tek başına dolar cinsinden kaybı göstermediğini vurguluyor. Ayrıntılar Cysic’in resmî açıklamalarına, Cointelegraph’ın 18 Ekim tarihli haberine ve kendi sorgularımızla kontrol ettiğimiz BNB Smart Chain kayıtlarına dayanıyor.
Ön bulgulara göre saldırgan önce köprüyü destekleyen servislerin kullandığı bir veritabanına izinsiz erişti. Ardından ilgili işleme mantığındaki bir açığı kullanarak sisteme sahte bir basım mesajı gönderdi. Köprü bu mesajı geçerli sayınca BNB Smart Chain’deki CYS sözleşmesi, başka bir ağda karşılığı kilitlenmiş ya da yakılmış bir varlık olmadan 10 milyon yeni token üretti. Saldırının izlediği yolun tamamı ve kök neden, raporun ifadesiyle hâlâ inceleme altında.
Zincir kaydı bu anlatımla örtüşüyor. Raporda bağlantısı verilen basım işlemi 128.170.791 numaralı blokta, 12:31:38 UTC’de onaylanmış. Kayıtta sıfır adresinden 0xA4e1…C255 ile biten adrese tam 10.000.000 CYS’lik bir aktarım, yani yeni basımın standart izi görünüyor. İşlemin gerçekleştiği sözleşme de CoinGecko’nun ve Cysic dokümanlarının BNB Smart Chain için gösterdiği resmî CYS adresiyle (0x0C69…07C7) aynı. Yani ortada sahte bir kopya token değil, projenin kendi sözleşmesinde yapılmış bir basım var.
Basımdan sonraki dakikalar daha hızlı geçti. Zincir kayıtlarına göre adresteki tokenların 7,2 milyonu, TSİ 15:36 ile 15:59 arasında 15 ayrı işlemle üç farklı akıllı sözleşme adresine aktarıldı. Bu sözleşmelerin ne olduğu, tokenların satılıp satılmadığı ya da sonunda nereye ulaştığı resmî raporda henüz açıklanmadı. Cysic yalnızca sonraki transfer ve takasların incelendiğini söylüyor. Kara liste işlemi ise 128.180.949 numaralı blokta, TSİ 16:47:52’de geldi. Adresin bakiyesi bugün itibarıyla tam 2,8 milyon CYS gösteriyor; bu da rapordaki “yaklaşık 2,8 milyon” ifadesiyle uyumlu.
| Saat (TSİ) | Saat (UTC) | Gelişme | Dayanak |
|---|---|---|---|
| 17 Ekim, 15:31:38 | 12:31:38 | BNB Smart Chain’de 0xA4e1…C255 adresine 10.000.000 CYS basılıyor (blok 128.170.791). | Rapor, zincir kaydı |
| 17 Ekim, 15:36–15:59 | 12:36–12:59 | Adresteki 7,2 milyon CYS, 15 işlemle üç akıllı sözleşme adresine aktarılıyor. | Zincir kaydı |
| 17 Ekim, 16:47:52 | 13:47:52 | Alıcı adres CYS sözleşmesinde kara listeye alınıyor; kalan 2,8 milyon CYS’nin transferi duruyor (blok 128.180.949). | Rapor, zincir kaydı |
| 18 Ekim, 13:10 | 10:10 | Cysic Foundation, “Cysic Incident Report” başlıklı raporu X’te yayımlıyor; köprü kapalı. | Cysic Foundation |
Zincirler arası köprülerin çoğu benzer bir mantıkla çalışır: Token bir ağda kilitlenir ya da yakılır, köprü bunu bildiren bir mesaj üretir, diğer ağdaki sözleşme de bu mesaja dayanarak karşılığını basar. Düzenin güvenliği o mesajın doğruluğuna bağlıdır. Mesajı hazırlayan ya da işleyen altyapı ele geçirilirse sözleşmenin kodu sağlam olsa bile “yetkili” görünen sahte bir talimat kabul edilebilir.
Cysic’in ön bulguları bu zayıf halkayı gösteriyor. Raporda öne çıkan unsur, köprüyü destekleyen servislerin kullandığı veritabanı; yani zincir dışı bir bileşen. Açığın bulunduğu işleme mantığının tam olarak nerede çalıştığı ise belirtilmiyor ve bu henüz nihai bir teknik inceleme değil. Ekip mesaj işleme sürecinin yanı sıra izin yapılandırmalarını ve ilgili varlık kayıtlarını da gözden geçirdiğini belirtiyor. Takip raporunda tablonun ayrıntılanması, hatta değişmesi mümkün.
Vakfın açıklamasına göre kullanıcı cüzdanlarında tutulan CYS ya da başka varlıklar çalınmadı, izinsiz şekilde transfer de edilmedi. Ana ağ tarafında konsensüs, blok üretimi, işlem onayı ve EVM üzerinde işlem yürütme olaydan etkilenmedi. Etkilenen hizmet köprünün kendisi; bu köprü üzerinden zincirler arası transfer şu an yapılamıyor ve ekip, köprünün ancak güvenlik incelemesi tamamlandıktan sonra açılacağını, tarihin resmî kanallardan duyurulacağını söylüyor.
Raporun son bölümü dolandırıcılık uyarısına ayrılmış. Cysic, kullanıcılardan özel mesajla kurtarma kelimesi ya da özel anahtar istemeyeceğini, varlıkların sözde “güvenli bir hesaba” taşınmasını talep etmeyeceğini belirtiyor. Doğrulanmamış kaynaklardan gelen tazminat, iade ya da varlık kurtarma bağlantılarının açılmaması isteniyor. Bu uyarıyı formalite saymamak gerekiyor; benzer olayların ardından sahte “iade formları” ve taklit hesapların hızla ortaya çıkması sektörde sık rastlanan bir durum.
CoinGecko ve CoinMarketCap, 18 Ekim akşamı itibarıyla CYS’nin dolaşımdaki arzını aynı rakamla, 160,8 milyon olarak gösteriyor. Toplam ve maksimum arz 1 milyar CYS. İzinsiz basılan 10 milyon token, dolaşımdaki arzın yaklaşık yüzde 6,2’sine, toplam arzın ise yüzde 1’ine denk geliyor. Adresten çıkan 7,2 milyon CYS dolaşımın yüzde 4,5’i civarında; kara listede kalan 2,8 milyon ise yüzde 1,7’si.
Bir de dolar karşılığı meselesi var. CYS, CoinGecko’da TSİ 18:02 itibarıyla 0,1157 dolardan işlem görüyor. Bu fiyatla 10 milyon tokenın kâğıt üzerindeki karşılığı yaklaşık 1,16 milyon dolar ediyor. Ancak bu bir zarar hesabı değil: Tokenların bir kısmı adreste kilitli, çıkanların ne kadarının ve hangi fiyattan başka varlıklara çevrildiği bilinmiyor, satış yapıldıysa sığ likidite elde edilen tutarı da düşürmüş olabilir.
Fiyat bu haberin odağı değil, ama zamanlama kayda değer. CoinGecko verisine göre CYS’nin tüm zamanların en düşük seviyesi olan 0,1063 dolar, 17 Ekim’de TSİ 15:38’de (12:38 UTC), yani basımdan yaklaşık yedi dakika sonra görüldü. Fiyat aynı gece 0,13 dolar civarına toparlandı. Son 24 saatteki düşüş yüzde 1,8 düzeyinde; yedi günlük yaklaşık yüzde 22,6’lık kaybın büyük kısmı ise olaydan önceki günlerde yaşanmıştı. Genel piyasa hafta sonu sakin: Aynı saatte Bitcoin 81.082, BNB 714 dolardı; ikisi de 24 saatte yüzde 1’in altında geriledi.
Cysic, Ağustos 2022’de ZK kanıt üretimini hızlandıran donanım girişimi olarak kuruldu; kurucu ortak Leo Fan’ın The Block’a anlattığına göre ekip FPGA prototipleriyle başlayıp özel çip hedefledi. Sıfır bilgi kanıtı, bir hesaplamanın doğru yapıldığını içeriğini açmadan ispatlayan bir kriptografi yöntemi. Bu kanıtları üretmek yoğun işlem gücü istiyor, rollup’lar da bu kapasiteyi çoğu zaman dışarıdan alıyor.
Proje bugün kendini “ComputeFi” olarak tanımlıyor: hesaplama kaynaklarını zincir üzerinde doğrulanabilir ve token’laştırılmış varlıklara dönüştürmeyi hedefleyen bir ağ. Cysic’in resmî sitesinde ve dokümanlarında anlatılan yapıya göre ağ, ZK kanıtı ve yapay zekâ çıkarımı gibi iş yüklerini telefonlardan GPU kümelerine, şirketin kendi C1 çipine dayalı ZK-Air ve ZK-Pro cihazlarına kadar uzanan sağlayıcılarla eşleştiriyor. Ağın, 4399 zincir kimliğine sahip, EVM uyumlu kendi katman 1 ana ağı da bulunuyor; olaydan etkilenmediği söylenen ana ağ bu.
CYS bu ekonominin yakıtı. Resmî dokümana göre token; ZK kanıtı, yapay zekâ çıkarımı ve diğer hesaplama hizmetlerinin ödemesinde, Proof-of-Compute konsensüsünde staking için ve hesaplama sağlayıcılarıyla düğüm operatörlerinin ödüllendirilmesinde kullanılıyor. CYS stake eden kullanıcılar, devredilemeyen yönetişim tokenı CGT’yi elde ediyor ve protokol kararlarında oy kullanabiliyor. CYS’nin ana ağın yanında BNB Smart Chain ve Base üzerinde de token sözleşmeleri var. Raporda köprünün tam olarak hangi ağları birbirine bağladığı ayrıntılandırılmıyor; izinsiz basım BNB Smart Chain tarafında gerçekleşti.
Dokümandaki dağılımda en büyük pay yüzde 40,19 ile ekosistem teşviklerinin; yatırımcıların payı yüzde 23,62 ve bir yıllık kilidin ardından 12 ayda açılıyor. Fon tarafında Polychain Capital liderliğindeki 6 milyon dolarlık tohum turu ve Mayıs 2024’te HashKey Capital ile OKX Ventures’ın birlikte liderlik ettiği 12 milyon dolarlık pre-A turu öne çıkıyor.
Cysic olayı, köprü ve altyapı saldırılarının yoğun geçtiği bir döneme denk geldi. Blokzincir güvenlik şirketi Hacken’in üçüncü çeyrek raporuna göre Temmuz–Eylül 2026 arasında 107 olayda toplam 1,18 milyar dolar çalındı; bu, bir önceki çeyreğe göre yüzde 55’lik artış demek. Kayıpların yaklaşık 906,8 milyon doları, yani yüzde 77’si, ele geçirilmiş tedarikçi ve geliştirici araçlarından, duyurulmuş ama uygulanmamış güvenlik yamalarından ya da son güvenlik denetiminin kapsamı dışında kalan bileşenlerden kaynaklandı. CoinDesk’in aktardığına göre temmuzda altı saat içinde üç köprü ve zincirler arası protokol toplam 35 milyon doların üzerinde kayıp yaşadı.
Bu çerçeveden bakınca Cysic’in ön bulguları tanıdık bir resim çiziyor. Denetim raporları çoğu zaman akıllı sözleşmelere odaklanırken köprüyü besleyen veritabanları, imza servisleri ve mesaj aktarıcıları gibi zincir dışı parçalar gözden kaçabiliyor. Ağustos sonunda SKALE’in IMA Bridge köprüsünde yaşanan saldırıyı da altyapı sağlayıcılarının ele geçirilmesi tetiklemişti; o köprü ekim başında hâlâ kapalıydı. Mesajlaşma katmanlarının neden kalıcı bir saldırı yüzeyi olduğunu da LayerZero yazımızda ele almıştık. Burada dikkat edilmesi gereken bir ayrıntı var: Cysic’in hızlı kara liste müdahalesi basılan tokenların bir kısmını durdurabildi, ancak bunun mümkün olması, token sözleşmesinde adres dondurma yetkisinin bulunduğunu da gösteriyor. Bunun merkeziyet açısından ne anlama geldiği ayrı bir tartışma konusu.
En kritik eksik, gerçek zararın dolar cinsinden büyüklüğü. 7,2 milyon CYS’nin aktarıldığı üç sözleşmenin ne olduğu, tokenların satılıp satılmadığı ve elde edilen tutarın nereye aktarıldığı netleşmeden kesin bir rakam vermek mümkün değil. Kara listedeki 2,8 milyon CYS’ye ne olacağı da açık değil. Cysic bu konudaki gelişmeleri resmî kanallardan paylaşacağını söylüyor, ancak tokenların yakılıp yakılmayacağına dair bir açıklama yapmadı.
Soruşturmayı yürüten güvenlik şirketinin adı da verilmedi; vakıf, saldırganın kimliği ve fon takibiyle ilgili hassas bilgileri ancak soruşturmayı tehlikeye atmayacaksa paylaşacağını söylüyor. Köprünün yeniden açılış tarihi incelemenin sonucuna bağlı. Cysic, takip raporunda doğrulanmış etkiyi, gerçek kayıpları, fon takibindeki ilerlemeyi ve iyileştirme sonuçlarını açıklayacağını taahhüt ediyor. O rapor gelene kadar tek güvenilir bilgi kaynağı projenin resmî hesapları.
Yatırım tavsiyesi değildir. Bu yazı yalnızca bilgilendirme amaçlıdır; kripto paralar yüksek risk taşır, karar vermeden önce kendi araştırmanızı yapın.
📚 Yazarın Kitapları
Yapay zeka ajanları, yani kendisine verilen bir işi adım adım kendi başına yürüten programlar, son…
Yapay zeka tarafında bu hafta gündemi tek bir şirket değil, bir eğilim belirledi: ağırlıkları herkesin…
Injective, finans uygulamaları için tasarlanmış bir katman 1 blokzinciri; ağın yerel tokenı INJ. Emir defterli…
Stellar, 2014'ten beri çalışan ve göçmen işçilerin aile gönderimlerinden tokenize yatırım fonlarına kadar geniş bir…
Polygon, Ethereum’la iç içe çalışan ve bugün daha çok ödemeler, stablecoin transferleri ve zincirler arası…
OKX ile New York Borsası’nın (NYSE) çatı şirketi Intercontinental Exchange’in (ICE) ortak girişimi OKXICE, ABD…