Wallets, die dem Cysic-Bridge-Exploiter zugeordnet werden, haben am Freitag laut dem Blockchain-Analyseunternehmen PeckShield rund 300 ETH und 30,4 BNB in Tornado Cash eingezahlt. Die Einzahlungen entsprechen etwa 721.140 USD in Ether und 22.590 USD in BNB, insgesamt also rund 744.000 USD. Die Verlagerung erfolgte nur wenige Tage, nachdem die Cysic Foundation öffentlich ein Bounty von 10 % für die Rückgabe des Großteils der identifizierten ETH-Erlöse aus dem Exploit angeboten hatte.

PeckShield verfolgt die Mixer-Einzahlungen

PeckShields Warnung vom 23. Oktober, auf X veröffentlicht, nannte eine Adresse, die als Cysic-Exploiter (@cysic_xyz) gekennzeichnet ist, als Quelle der Tornado-Cash-Einzahlungen. Das Unternehmen wiederholte zudem den zugrunde liegenden Vorfall vom 17. Oktober, bei dem Angreifer laut Angaben der Cysic Foundation 10 Millionen CYS ohne Autorisierung auf der BNB Chain minteten.

Tornado Cash vermischt Einzahlungen vieler Nutzer. Sobald sich Mittel im Pool befinden, lassen sich spätere Abhebungen schwerer einer bestimmten Einzahlung zuordnen, wobei Off-Chain-Hinweise weiterhin eine Rolle spielen können. Der Mixer hat seine eigene jahrelange regulatorische Geschichte durchlaufen – OFAC verhängte im August 2022 Sanktionen, ein US-Berufungsgericht urteilte Ende 2024, dass seine unveränderlichen Smart Contracts kein sanktionierbares Eigentum sind, und das Treasury hob die Sanktionen im März 2025 auf – doch sein Auftauchen in PeckShields Warnung zeigt, dass er ein routinemäßiger Marker dafür bleibt, wie Analysefirmen gestohlene Gelder nachverfolgen. Fürobachter von Krypto-Kriminalitätsflüssen sind die Transfers am Freitag der vertraute zweite Akt nach einer Bridge-Mint: umwandeln, verschieben, dann verschleiern.

Die Bridge-Mint vom 17. Oktober

In seinem Incident-Bericht teilte die Cysic Foundation mit, dass die Cross-Chain-Bridge am 17. Oktober 2026 angegriffen wurde. Ein Angreifer mintete um 12:31:38 UTC 10.000.000 CYS ohne Autorisierung auf der BNB Smart Chain. Laut Cysic erlangte der Angreifer unbefugten Zugriff auf eine Datenbank, die die Bridge unterstützte, und eine Schwäche in der Verarbeitungslogik ermöglichte anschließend das Durchkommen einer gefälschten Mint-Nachricht. Die Foundation ergänzte, dass der vollständige Angriffspfad noch untersucht werde.

Diese Kombination erklärt, warum Bridges Angreifer weiterhin anziehen: Sie bündeln gepoolte Assets auf beiden Seiten einer Chain-Grenze und verlassen sich auf Nachrichtenverifizierungslogik zur Freigabe von Transfers, sodass kompromittierte Infrastruktur in Kombination mit einer schwachen Prüfung eine gefälschte Nachricht in frisch gemintete Werte verwandeln kann.

Cysic stellte den Vorfall als auf die Bridge-Nachrichtenverarbeitung und das Minting beschränkt dar. Nutzer-Assets in Wallets seien nicht gestohlen worden, und das Cysic-Mainnet sei nicht betroffen. Die Bridge wurde als Eindämmungsmaßnahme ausgesetzt, und der Cross-Chain-Dienst blieb während der laufenden Sicherheitsüberprüfungen geschlossen.

Die Foundation veröffentlichte die Empfängeradresse der Mint als 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 und die Mint-Transaktion auf der BNB Smart Chain als 0x8de43ba77f9a14ecff1268acb9d7c9bf3afe1f2a45bd8d8681d824a2460000f6. Um 13:47:52 UTC desselben Tages teilte Cysic mit, dass die Adresse im CYS-Tokenvertrag auf der BNB Smart Chain auf die Blacklist gesetzt worden sei, wodurch Transfers von rund 2,8 Millionen dort verbliebenen CYS beschränkt wurden. Das Projekt betonte zudem, dass die rohe Mint-Größe für sich genommen nicht den endgültigen Dollar-Verlust darstelle.

Am 19. Oktober teilte die Foundation mit, dass alle Relayer pausiert blieben, die in den Bridge-Verträgen hinterlegten CYS sicher seien und die Bridge erst nach Abschluss der Sicherheitsprüfungen wieder geöffnet werde.

Das 10-%-Bounty und die 72-Stunden-Frist

Am 22. Oktober unterbreitete die Cysic Foundation dem Akteur hinter dem Exploit ein direktes Angebot: ein Bounty von rund 10 % im Gegenzug für die Rückgabe von etwa 90 % der identifizierten ETH-Erlöse aus dem unbefugten CYS-Mint. Die Bedingungen waren präzise. Der Akteur wurde aufgefordert, 275,872 ETH auf dem Ethereum-Mainnet an eine von der Foundation kontrollierte Adresse zu senden: 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9.

Went dieser Betrag innerhalb eines 72-Stunden-Fensters ab der On-Chain-Veröffentlichung der Nachricht einging, durfte der Akteur etwa 30,652 ETH als Bounty behalten. Cysic sagte zu, die Kooperation öffentlich anzuerkennen und seinen ETH-Anspruch im Rahmen des Angebots als erledigt zu betrachten. Würden die Gelder nicht fristgerecht zurückgegeben, erklärte die Foundation, werde sie die Angelegenheit zur vollständigen strafrechtlichen Untersuchung an die Strafverfolgungsbehörden weiterleiten. Cysic veröffentlicht dieselben Bedingungen als On-Chain-Nachrichten auf both der BNB Chain und Ethereum, und das Projektkonto @cysic_xyz verstärkte das Angebot am selben Tag.

Wie veröffentlicht läuft diese Frist bis zum 25. Oktober – die Mixer-Einzahlungen am Freitag tauchten also innerhalb des Fensters auf, nicht nach Ablauf der Frist.

Warum der Mixer-Schritt wichtig ist

Ein veröffentlichtes Bounty ist im Effekt eine Verhandlung. Eine Mixer-Einzahlung ist ein Ausstieg. Mit dem Angebot folgte Cysic dem White-Hat-Drehbuch, das viele Protokolle nach einem Bridge-Ausfall anwenden: eine Rückgabeadresse nennen, eine Einbehaltungsgebühr festlegen, eine Uhr setzen und Strafverfolgung androhen. PeckShields Warnung am Freitag zeigt stattdessen, wie gekennzeichnete Erlöse in Tornado Cash fließen.

Das beweist nicht, dass jeder Dollar aus dem Exploit für immer verloren ist. Es zeigt aber, dass die Gelder in ein Werkzeug verschoben werden, das darauf ausgelegt ist, einfache Wallet-zu-Wallet-Nachverfolgung zu durchbrechen. Bridge-Mints und Mixer-Einzahlungen befinden sich auf derselben Landkarte wie andere Krypto-Hacks, die Protokollfehler in tragbare Assets verwandeln – Ronin im März 2022, Wormhole im Februar 2022 und die BNB Bridge im Oktober 2022 verzeichneten jeweils Abflüsse im nine-stelligen Bereich. Der Cysic-Fall erinnert auch daran, dass die erste Schlagzeile meist der Exploit selbst ist, während die leisere Geschichte darin besteht, wohin die Coins als Nächstes gehen. Die nächsten Prüfpunkte liegen On-Chain: ob die geforderten 275,872 ETH fristgerecht die Adresse der Foundation erreichen, ob Cysic seine angekündigte Eskalation an die Strafverfolgungsbehörden durchführt, falls nicht, und ob die ausgesetzte Bridge nach Abschluss der Sicherheitsprüfungen wieder geöffnet wird. Die Technologie hinter dem Diebstahl verändert sich ständig, während die zugrunde liegende Psychologie – ein Entgelt für die Rückgabe anbieten und dann beobachten, ob die Gegenseite das Angebot annimmt oder zu einem dunkleren Pool greift – weitgehend dieselbe bleibt.