Portafogli etichettati come appartenenti all'exploiter del bridge Cysic hanno depositato circa 300 ETH e 30,4 BNB su Tornado Cash venerdì, secondo la società di analisi blockchain PeckShield. I depositi ammontano a circa 721.140 dollari in ether e 22.590 dollari in BNB, per un totale di circa 744.000 dollari. Il movimento è arrivato pochi giorni dopo che la Cysic Foundation ha offerto pubblicamente una taglia del 10% per la restituzione della maggior parte dei proventi in ETH identificati dall'exploit.

PeckShield traccia i depositi sul mixer

L'allerta del 23 ottobre di PeckShield, pubblicata su X, ha indicato un indirizzo etichettato come quello dell'exploiter di Cysic (@cysic_xyz) come origine dei depositi su Tornado Cash. La società ha anche ripercorso l'incidente di base del 17 ottobre, in cui gli attaccanti hanno coniato 10 milioni di CYS senza autorizzazione su BNB Chain, come descritto dalla Cysic Foundation.

Tornado Cash mescola i depositi di molti utenti. Una volta che i fondi si trovano nel pool, i prelievi successivi diventano più difficili da collegare a un deposito specifico, anche se gli indizi off-chain possono comunque contare. Il mixer ha attraversato una propria saga regulatoria durata anni — OFAC lo ha sanzionato nell'agosto 2022, una corte d'appello statunitense ha stabilito alla fine del 2024 che i suoi smart contract immutabili non sono proprietà sanzionabile, e il Tesoro ha revocato tali sanzioni a marzo 2025 — eppure la sua comparsa nell'allerta di PeckShield mostra che rimane un marcatore abituale nel modo in cui le società di analisi tracciano i fondi rubati. Per gli osservatori dei flussi criminali legati alle criptovalute, i trasferimenti di venerdì rappresentano la familiare seconda scena dopo una coniazione su un bridge: convertire, spostare, poi oscurare.

La coniazione sul bridge riportata il 17 ottobre

Nel suo incident report, la Cysic Foundation ha dichiarato che il bridge cross-chain è stato attaccato il 17 ottobre 2026. Un attaccante ha coniato 10.000.000 di CYS su BNB Smart Chain alle 12:31:38 UTC senza autorizzazione. Secondo Cysic, l'attaccante ha ottenuto accesso non autorizzato a un database che supportava il bridge, e un difetto nella logica di elaborazione ha quindi permesso il passaggio di un messaggio di coniazione fraudolento. La fondazione ha aggiunto che'intero percorso dell'attacco era ancora sotto indagine.

Questa combinazione spiega perché i bridge continuano ad attirare gli attaccanti: concentrano asset in pool su entrambi i lati di un confine tra catene e si affidano alla logica di verifica dei messaggi per approvare i trasferimenti, quindi un'infrastruttura compromessa combinata con un controllo debole può trasformare un messaggio falso in valore appena coniato.

Cysic ha inquadrato l'evento come limitato all'elaborazione dei messaggi del bridge e alla coniazione. Ha dichiarato che gli asset esistenti degli utenti nei portafogli non sono stati rubati e che la mainnet di Cysic non è stata interessata. Il bridge è stato sospeso come misura di contenimento, e il servizio cross-chain attraverso di esso è rimasto chiuso mentre le verifiche di sicurezza erano in corso.

La fondazione ha pubblicato l'indirizzo destinatario della coniazione come 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 e la transazione di coniazione su BNB Smart Chain come 0x8de43ba77f9a14ecff1268acb9d7c9bf3afe1f2a45bd8d8681d824a2460000f6. Alle 13:47:52 UTC dello stesso giorno, Cysic ha dichiarato che l'indirizzo era stato inserito nella blacklist del contratto token CYS su BNB Smart Chain, limitando i trasferimenti di circa 2,8 milioni di CYS ancora presenti. Il progetto ha inoltre sottolineato che la dimensione della coniazione grezza non era, di per sé, la perdita finale in dollari.

Il 19 ottobre, la fondazione ha dichiarato che tutti i relayer restavano in pausa, che i CYS depositati nei contratti del bridge erano rimasti al sicuro, e che il bridge avrebbe riaperto solo una volta completate le verifiche di sicurezza.

La taglia del 10% e il conto alla rovescia di 72 ore

Il 22 ottobre, la Cysic Foundation ha pubblicato un'offerta diretta alla parte responsabile dell'exploit: una taglia approssimativa del 10% in cambio della restituzione di circa il 90% dei proventi in ETH identificati dalla coniazione non autorizzata di CYS. I termini erano precisi. All'attore è stato chiesto di inviare 275,872 ETH sulla mainnet di Ethereum a un indirizzo controllato dalla Fondazione, 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9.

Se tale importo fosse arrivato entro una finestra di 72 ore a partire dalla pubblicazione on-chain del messaggio, l'attore avrebbe potuto trattenere circa 30,652 ETH come taglia. Cysic ha dichiarato che avrebbe riconosciuto pubblicamente la collaborazione e considerato risolta la propria pretesa sull'ETH nell'ambito dell'offerta. Se i fondi non fossero stati restituiti entro la scadenza, la fondazione ha detto che avrebbe escalated la questione alle forze dell'ordine per un'indagine criminale completa. Cysic ha pubblicato gli stessi termini come messaggi on-chain sia su BNB Chain che su Ethereum, e l'account del progetto @cysic_xyz ha diffuso l'offerta lo stesso giorno.

Come pubblicato, quel conto alla rovescia scade il 25 ottobre — il che significa che i depositi sul mixer di venerdì sono emersi entro la finestra, non dopo la scadenza.

Perché il movimento sul mixer è importante

Una taglia pubblicata è, di fatto, una negoziazione. Un deposito su un mixer è un'uscita. Con l'offerta, Cysic ha seguito lo script white-hat che molti protocolli adottano dopo un guasto di un bridge: indicare un indirizzo di restituzione, prezzare una commissione di trattenuta, fissare una scadenza e minacciare un procedimento legale. L'allerta di venerdì di PeckShield mostra invece proventi etichettati che fluiscono verso Tornado Cash.

Questo non dimostra che ogni dollaro dell'exploit sia perduto per sempre. Mostra però i fond spostarsi verso uno strumento costruito per spezzare il facile tracciamento da portafoglio a portafoglio. Coniazioni su bridge e depositi su mixer si trovano sulla stessa mappa di altri crypto hack, che trasformano bug dei protocolli in asset portabili — Ronin a marzo 2022, Wormhole a febbraio 2022 e BNB Bridge a ottobre 2022 hanno subito ciascuno drain di bridge a nove cifre. Il caso Cysic è anche un promemoria del fatto che il primo titolo riguarda di solito l'exploit stesso, mentre la storia più silenziosa è dove finiscono poi le monete. I prossimi checkpoint sono on-chain: se i richiesti 275,872 ETH raggiungono l'indirizzo della Fondazione entro la scadenza, se Cysic porta avanti l'escalation dichiarata alle forze dell'ordine in caso contrario, e se il bridge sospeso riapre una volta concluse le verifiche di sicurezza. La tecnologia alla base del furto continua a cambiare, mentre la psicologia sottostante — offrire una quota in cambio della restituzione, per poi osservare se l'altra parte accetta l'accordo o si rivolge a un pool più cupo — rimane pressoché identica.