Des portefeuilles étiquetés comme appartenant à l'exploiteur du pont Cysic ont déposé environ 300 ETH et 30,4 BNB sur Tornado Cash vendredi, selon la société d'analyse blockchain PeckShield. Ces dépôts représentent environ 721 140 $ en ether et 22 590 $ en BNB, soit un total d'environ 744 000 $. Ce mouvement est survenu quelques jours seulement après que la Cysic Foundation a publiquement offert une prime de 10 % pour la restitution de la majeure partie des produits ETH identifiés issus de l'exploit.

PeckShield suit les dépôts dans le mixer

L'alerte du 23 octobre de PeckShield, publiée sur X, désigne une adresse étiquetée comme l'exploiteur de Cysic (@cysic_xyz) comme la source des dépôts sur Tornado Cash. La société a également rappelé l'incident sous-jacent du 17 octobre, au cours duquel des attaquants ont émis 10 millions de CYS sans autorisation sur BNB Chain, comme l'avait décrit la Cysic Foundation.

Tornado Cash mélange les dépôts de nombreux utilisateurs. Une fois les fonds placés dans le pool, les retraits ultérieurs deviennent plus difficiles à rattacher à un dépôt spécifique, même si les indices hors chaîne peuvent encore jouer. Le mixer a connu sa propre saga réglementaire de plusieurs années — OFAC l'a sanctionné en août 2022, une cour d'appel américaine a jugé fin 2024 que ses smart contracts immuables ne constituaient pas une propriété soumise à sanction, et le Trésor a levé ces sanctions en mars 2025 — pourtant, sa présence dans l'alerte de PeckShield montre qu'il reste un marqueur habituel dans la manière dont les sociétés d'analyse retracent les fonds volés. Pour les observateurs des flux criminels crypto, les transferts de vendredi sont un deuxième acte familier après une émission via un pont : convertir, déplacer, puis brouiller les pistes.

L'émission via le pont signalée le 17 octobre

Dans son rapport d'incident, la Cysic Foundation a indiqué que le pont inter-chaînes avait été attaqué le 17 octobre 2026. Un attaquant a émis 10 000 000 de CYS sur BNB Smart Chain à 12 h 31 min 38 s UTC sans autorisation. Selon Cysic, l'attaquant a obtenu un accès non autorisé à une base de données soutenant le pont, et une faille dans la logique de traitement a ensuite laissé passer un message d'émission frauduleux. La fondation a ajouté que l'intégralité du chemin d'attaque faisait toujours l'objet d'une enquête.

Cette combinaison explique pourquoi les ponts continuent d'attirer les attaquants : ils concentrent des actifs mutualisés de part et d'autre d'une frontière entre chaînes et s'appuient sur une logique de vérification des messages pour approuver les transferts, de sorte qu'une infrastructure compromise combinée à un contrôle défaillant peut transformer un faux message en valeur fraîchement émise.

Cysic a présenté l'événement comme limité au traitement des messages du pont et à l'émission. Elle a indiqué que les actifs des utilisateurs détenus dans les portefeuilles n'avaient pas été volés et que le mainnet de Cysic n'avait pas été affecté. Le pont a été suspendu par mesure de confinement, et le service inter-chaînes qui l'empruntait est resté fermé pendant que les revues de sécurité étaient en cours.

La fondation a publié l'adresse destinataire de l'émission, 0xA4e1827Fe2664fD0797a55e442b2e2639449C255, ainsi que la transaction d'émission sur BNB Smart Chain, 0x8de43ba77f9a14ecff1268acb9d7c9bf3afe1f2a45bd8d8681d824a2460000f6. À 13 h 47 min 52 s UTC le même jour, Cysic a indiqué que l'adresse avait été blacklistée dans le contrat du token CYS sur BNB Smart Chain, restreignant les transferts d'environ 2,8 millions de CYS s'y trouvant encore. Le projet a également souligné que le volume brut de l'émission ne représentait pas, en soi, la perte finale en dollars.

Le 19 octobre, la fondation a indiqué que tous les relayers restaient en pause, que les CYS déposés dans les contrats du pont demeuraient en sécurité, et que le pont ne rouvrirait qu'une fois les contrôles de sécurité achevés.

La prime de 10 % et le compte à rebours de 72 heures

Le 22 octobre, la Cysic Foundation a publié une offre directe l'attention de la partie à l'origine de l'exploit : une prime d'environ 10 % en échange de la restitution d'environ 90 % des produits ETH identifiés issus de l'émission non autorisée de CYS. Les conditions étaient précises. L'auteur était prié d'envoyer 275,872 ETH sur le mainnet Ethereum vers une adresse contrôlée par la fondation, 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9.

Si ce montant arrivait dans un délai de 72 heures à compter de la publication du message on-chain, l'auteur pouvait conserver environ 30,652 ETH à titre de prime. Cysic a déclaré qu'elle reconnaîtrait publiquement la coopération et considérerait sa créance en ETH dans le cadre de l'offre comme réglée. Si les fonds n'étaient pas restitués à l'échéance, la fondation a déclaré qu'elle porterait l'affaire devant les forces de l'ordre pour une enquête criminelle complète. Cysic a publié les mêmes conditions sous forme de messages on-chain sur BNB Chain et Ethereum, et le compte du projet @cysic_xyz a relayé l'offre le même jour.

Tel que publié, ce compte à rebours court jusqu'au 25 octobre — ce qui signifie que les dépôts dans le mixer de vendredi sont apparus pendant la période impartiale, et non après l'échéance.

Pourquoi ce passage par le mixer est important

Une prime publiée constitue, en réalité, une négociation. Un dépôt dans un mixer est une sortie. Avec cette offre, Cysic a suivi le scénario de white-hat que de nombreux protocoles appliquent après une défaillance de pont : désigner une adresse de restitution, fixer le prix d'une commission de conservation, établir un délai et menacer de poursuites. L'alerte de vendredi de PeckShield montre au contraire des produits étiquetés affluant vers Tornado Cash.

Cela ne prouve pas que chaque dollar issu de l'exploit est définitivement perdu. Cela montre toutefois les fonds se déplaçant vers un outil conçu pour briser le traçage facile de portefeuille à portefeuille. Les émissions via les ponts et les dépôts dans les mixers figurent sur la même carte que les autres piratages crypto, qui transforment des failles de protocole en actifs transférables — Ronin en mars 2022, Wormhole en février 2022 et BNB Bridge en octobre 2022 ont chacun subi des drains de pont à neuf chiffres. L'affaire Cysic rappelle également que le premier titre concerne généralement l'exploit lui-même, tandis que l'histoire plus discrète est celle de la destination ultérieure des jetons. Les prochains points de contrôle sont on-chain : savoir si les 275,872 ETH exigés atteignent l'adresse de la fondation avant l'échéance, si Cysic mettra à exécution l'escalade annoncée vers les forces de l'ordre dans le cas contraire, et si le pont suspendu rouvrira une fois ses contrôles de sécurité achevés. La technologie derrière le vol ne cesse d'évoluer, tandis que la psychologie sous-jacente — offrir une part en échange d'une restitution, puis observer si l'autre partie accepte l'accord ou se tourne vers un bassin plus obscur — reste largement la même.