Syscoin вернула и сожгла 5 млрд SYS после взлома

Команда проекта Syscoin сообщила, что вернула и сожгла 5 млрд токенов SYS, выпущенных злоумышленником через уязвимость в кроссчейн‑мосте. Атака была обнаружена 7 июня, мост пока отключён и проходит дополнительные проверки.

По описанию разработчиков, уязвимость возникла из‑за различной интерпретации одной транзакции на двух уровнях сети. Syscoin сочетает UTXO‑цепочку, совместимую с Биткоином, и слой смарт‑контрактов NEVM. Мост проверяет доказательства транзакций и перемещает активы между уровнями. Атакующий создал транзакцию с двумя записями об одном выходе: одна запись трактовалась как нативный SYS, вторая — как пользовательский токен, заранее созданный злоумышленником. В результате релэй‑модуль NEVM воспринял операцию как выпуск нативного SYS и смарт‑контракт хранилища выпустил 5 млрд токенов.

Перед основной операцией злоумышленник проверил схему на небольшой тестовой транзакции с другим токеном. После обнаружения инцидента 7 июня команда отслеживала движение средств по UTXO‑адресам и установила контакт с подозреваемым через блокчейн. Разработчики отправили адрес для возврата токенов и сообщили о намерении привлечь биржи и применить юридические меры в случае отказа от возврата.

По данным проекта, весь объём в 5 млрд SYS был возвращён, затем команда выполнила операцию сжигания. Соответствующая транзакция доступна в обозревателе блоков. 10 июня команда уведомила, что биржи могут возобновлять ввод и вывод нативного SYS, но перевод через кроссчейн‑мост остаётся закрыт до финальной проверки.

Разработчики внесли изменения в релей‑модуль: теперь каждое доказательство сжигания привязано только к одному активу, а транзакции с дублирующимися или неоднозначными записями об активах отклоняются. Также готовятся правки в Syscoin Core, которые запретят дублирование назначений активов на уровне консенсуса.

Инцидент повлиял на предложение и состояние рынка SYS. До атаки в обращении было около 891 млн SYS; выпущенные злоумышленником 5 млрд превышали это предложение более чем в пять раз. На момент взлома стоимость дополнительных токенов оценивалась примерно в $9 млн. Цена SYS составляла около $0,0026, капитализация — примерно $2,3 млн. За месяц до инцидента токен потерял более 48%, за год — более 91%.

Активность внутри экосистемы остаётся низкой: совокупная заблокированная стоимость в протоколах DeFi по проекту практически равна нулю, а перед инцидентом в сети фиксировалось около 14 активных адресов и 73 транзакции в сутки.

В более широком масштабе к 1 июня 2026 года 14 крупных атак на мосты и кроссчейн‑сервисы привели к суммарным потерям в размере $340,7 млн; только в мае объём ущерба составил около $28,62 млн. Команда Syscoin продолжает внутренние проверки и держит мост отключённым до завершения аудита.