Billeteras etiquetadas como pertenecientes al exploitador del puente de Cysic depositaron aproximadamente 300 ETH y 30.4 BNB en Tornado Cash el viernes, según la firma de análisis de blockchain PeckShield. Los depósitos ascienden a unos $721,140 en ether y $22,590 en BNB, o alrededor de $744,000 en total. El movimiento ocurrió apenas días después de que la Cysic Foundation ofreciera públicamente una recompensa del 10% por la devolución de la mayor parte de los ingresos en ETH identificados del exploit.

PeckShield rastrea los depósitos en el mixer

La alerta del 23 de octubre de PeckShield, publicada en X, identificó una dirección etiquetada como el exploitador de Cysic (@cysic_xyz) como el origen de los depósitos en Tornado Cash. La firma también reiteró el incidente subyacente del 17 de octubre, en el que atacantes acuñaron 10 millones de CYS sin autorización en BNB Chain, según describió la Cysic Foundation.

Tornado Cash mezcla depósitos de muchos usuarios. Una vez que los fondos permanecen en el pool, los retiros posteriores se vuelven más difíciles de vincular a un depósito específico, aunque las pistas fuera de la cadena siguen siendo importantes. El mixer ha atravesado su propia saga regulatoria de años — OFAC lo sancionó en agosto de 2022, una corte de apelaciones de EE. UU. falló a finales de 2024 que sus contratos inteligentes inmutables no son propiedad sancionable, y el Tesoro levantó esas sanciones en marzo de 2025 — sin embargo, su aparición en la alerta de PeckShield muestra que sigue siendo un marcador habitual en cómo las firmas de análisis rastrean fondos robados. Para los observadores de los flujos del crimen cripto, las transferencias del viernes son una familiar segunda escena tras una acuñación en un puente: convertir, mover y luego ocultar.

La acuñación en el puente reportada el 17 de octubre

En su informe del incidente, la Cysic Foundation indicó que el puente cross-chain fue atacado el 17 de octubre de 2026. Un atacante acuñó 10,000,000 de CYS en BNB Smart Chain a las 12:31:38 UTC sin autorización. Según Cysic, el atacante obtuvo acceso no autorizado a una base de datos que respaldaba el puente, y una falla en la lógica de procesamiento permitió entonces el paso de un mensaje de acuñación fraudulento. La fundación añadió que la ruta completa del ataque seguía bajo investigación.

Esa combinación explica por qué los puentes siguen atrayendo a los atacantes: concentran activos agrupados a ambos lados del límite entre cadenas y dependen de la lógica de verificación de mensajes para aprobar transferencias, por lo que una infraestructura comprometida combinada con una verificación débil puede convertir un mensaje falso en valor recién acuñado.

Cysic encuadró el evento como limitado al procesamiento de mensajes del puente y a la acuñación. Dijo que los activos existentes de los usuarios en las billeteras no fueron robados y que la mainnet de Cysic no se vio afectada. El puente fue suspendido como medida de cont, y el servicio cross-chain a través de él permaneció cerrado mientras se realizaban las revisiones de seguridad.

La fundación publicó la dirección receptora de la acuñación como 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 y la transacción de acuñación en BNB Smart Chain como 0x8de43ba77f9a14ecff1268acb9d7c9bf3afe1f2a45bd8d8681d824a2460000f6. A las 13:47:52 UTC del mismo día, Cysic informó que la dirección había sido puesta en lista negra en el contrato del token CYS en BNB Smart Chain, restringiendo las transferencias de alrededor de 2.8 millones de CYS que aún permanecían allí. El proyecto también subrayó que el tamaño bruto de la acuñación no era, por sí solo, la pérdida final en dólares.

El 19 de octubre, la fundación indicó que todos los relayers permanecían en pausa, que el CYS depositado en los contratos del puente seguía seguro, y que el puente solo reabriría una vez concluidas las verificaciones de seguridad.

La recompensa del 10% y el reloj de 72 horas

El 22 de octubre, la Cysic Foundation publicó una oferta directa a la parte responsable del exploit: una recompensa aproximada del 10% a cambio de la devolución de alrededor del 90% de los ingresos en ETH identificados de la acuñación no autorizada de CYS. Los términos fueron precisos. Se pidió al actor enviar 275.872 ETH en la mainnet de Ethereum a una dirección controlada por la fundación, 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9.

Si ese monto llegaba dentro de una ventana de 72 horas a partir de la publicación en la cadena del mensaje, el actor podría quedarse con unos 30.652 ETH como recompensa. Cysic dijo que reconocería públicamente la cooperación y daría por resuelta su reclamo en ETH bajo la oferta. Si los fondos no eran devueltos en el plazo, la fundación afirmó que escalaría el asunto a las autoridades para una investigación criminal completa. Cysic publicó los mismos términos como mensajes en la cadena tanto en BNB Chain como en Ethereum, y la cuenta del proyecto @cysic_xyz amplificó la oferta el mismo día.

Tal como se publicó, ese reloj corre hasta el 25 de octubre, lo que significa que los depósitos en el mixer del viernes aparecieron dentro de la ventana, no después del plazo.

Por qué importa el movimiento hacia el mixer

Una recompensa publicada es, en efecto, una negociación. Un depósito en un mixer es una salida. Con la oferta, Cysic siguió el guion de white-hat que muchos protocolos usan tras un fallo de puente: nombrar una dirección de devolución, fijar una tarifa de retención, establecer un reloj y amenazar con un procesamiento. La alerta del viernes de PeckShield muestra en cambio ingresos etiquetados fluyendo hacia Tornado Cash.

Eso no prueba que cada dólar del exploit esté perdido para siempre. Sí muestra que los fondos se desplazan hacia una herramienta diseñada para romper el rastreo fácil de billetera a billetera. Las acuñaciones en puentes y los depósitos en mixers comparten el mismo mapa que otros hacks cripto, que convierten errores de protocolo en activos portátiles — Ronin en marzo de 2022, Wormhole en febrero de 2022 y BNB Bridge en octubre de 2022 sufrieron cada uno drenajes de puentes de nueve cifras. El caso de Cysic también es un recordatorio de que el primer titular suele ser el exploit en sí, mientras que la historia más silenciosa es hacia dónde van las monedas después. Los próximos puntos de control están en la cadena: si los 275.872 ETH exigidos llegan a la dirección de la fundación antes del plazo, si Cysic lleva a cabo su escalamiento anunciado a las autoridades si no llegan, y si el puente suspendido reabre una vez concluidas sus verificaciones de seguridad. La tecnología detrás del robo sigue cambiando, mientras que la psicología subyacente — ofrecer un por a cambio de la devolución y luego observar si la otra parte acepta el trato o recurre a un pozo más oscuro — permanece prácticamente igual.