Portfel powiązany z eksploitem mostu Cysic wysłał około 744 000 USD w kryptowalutach do Tornado Cash kilka dni po tym, jak Fundacja Cysic zaoferowała atakującemu 10% nagrody za odzysk w zamian za zwrot skradzionych środków.

Według firmy zajmującej się bezpieczeństwem blockchainów, PeckShield, adres przelał 300 Etherów (ETH) i 30,4 BNB do miksera kryptowalut w piątek.

Jak przebiegał eksploit

Incydent rozpoczął się w sobotę, gdy haker wykorzystał lukę w moscie Cysic, aby wybić 10 milionów tokenów Cysic (CYS) w BNB Smart Chain. Cysic zawiesił most i umieścił adres odbiorcy na czarnej liście, zamrażając około 2,8 miliona świeżo wybitych tokenów. Fundacja oświadczyła, że jej mainnet oraz istniejące aktywa przechowywane w portfelach użytkowników nie zostały dotknięte.

Mosty międzyłańcuchowe od dawna stanowią powtarzający się słaby punkt branży: protokoły te, które umożliwiają przenoszenie tokenów między blockchainami i zazwyczaj przechowują duże puli zablokowanych aktywów, brały udział w niektórych z największych włamań w historii kryptowalut, w tym w eksploitach Ronin i Wormhole z 2022 roku, które łącznie odprowadziły setki milionów dolarów.

W następujący czwartek Fundacja Cysic publicznie zaoferowała hakerowi nagrodę w wysokości 10% w zamian za zwrot 275,872 ETH o wartości około 665 000 USD, co stanowiło około 90% zidentyfikowanych wpływów w Etherze.

Środki przepchnięte przez mikser

Tornado Cash gromadzi depozyty z wielu adresów, co utrudnia śledzenie środków i komplikuje próby ich odzyskania. Portfel Ethereum atakującego posiadał w chwili publikacji zaledwie 45 USD w ETH, zgodnie z danymi Arkham.

Tornado Cash to zdecentralizowana usługa miksowania kryptowalut zaprojektowana w celu zatarcia powiązania między adresami depozytowymi a wypłat. Protokół został objęty sankcjami przez Biuro Kontroli Aktyw Zagranicznych (OFAC) Departamentu Skarbu Stanów Zjednoczonych w sierpniu 2022 roku, jednak sankcje te zostały zniesione w marcu 2025 roku po tym, jak federalny sąd apelacyjny orzekł, że Departament Skarbu przekroczył swoje uprawnienia.

Cointelegraph skontaktował się z Fundacją Cysic, prosząc o komentarz w sprawie odzyskiwania środków, ale nie otrzymał odpowiedzi przed publikacją. Pozostaje otwarte pytanie, czy fundacja podejmie dodatkowe kroki w celu odzyskania środków, teraz gdy przepłynęły one przez mikser.