Portfele oznaczone jako należące do eksploatatora mostu Cysic wpłaciły w piątek około 300 ETH i 30,4 BNB do Tornado Cash, według firmy analizującej blockchain PeckShield. Wpłaty wynoszą około 721 140 USD w etherze i 22 590 USD w BNB, czyli łącznie około 744 000 USD. Przeniesienie środków nastąpiło zaledwie kilka dni po tym, jak Cysic Foundation publicznie zaproponowała nagrodę w wysokości 10% za zwrot większości zidentyfikowanych wpływów w ETH z eksploitu.

PeckShield śledzi wpłaty do miksera

Alert PeckShield z 23 października, opublikowany na X, wskazał adres oznaczony jako eksploatator Cysic (@cysic_xyz) jako źródło wpłat do Tornado Cash. Firma przywołała także incydent bazowy z 17 października, w którym atakujący wybili bez uprawnienia 10 milionów CYS w BNB Chain, jak opisała Cysic Foundation.

Tornado Cash łączy wpłaty wielu użytkowników. Gdy środki znajdują się w puli, późniejsze wypłaty trudniej powiązać z konkretną wpłatą, choć wskazówki off-chain nadal mogą mieć znaczenie. Mikser przeszedł własną wieloletnią sagę regulacyjną — OFAC nałożył na niego sankcje w sierpniu 2022 roku, amerykański sąd odwoławczy orzekł pod koniec 2024 roku, że jego niezmienne kontrakty inteligentne nie stanowią własności podlegającej sankcjom, a Departament Skarbu zniesiał te sankcje w marcu 2025 roku — jednak jego pojawienie się w alercie PeckShield pokazuje, że pozostaje rutynowym punktem odniesienia w śledzeniu skradzionych środków przez firmy analityczne. Dla obserwatorów przepływów przestępczości kryptowalutowej piątkowe transfery to znajomy drugi akt po wybiciu na moście: skonwertuj, przenieś, a następnie zatuszuj.

Wybicie na moście zgłoszone 17 października

W swoim raporcie o incydencie Cysic Foundation poinformowała, że most międzyłańcuchowy został zaatakowany 17 października 2026 roku. Atakujący wybił 10 000 000 CYS w BNB Smart Chain o 12:31:38 UTC bez uprawnienia. Według Cysic atakujący uzyskał nieuprawniony dostęp do bazy danych obsługującej most, a błąd w logice przetwarzania pozwolił następnie na przepuszczenie fałszywej wiadomości o wybiciu. Fundacja dodała, że pełna ścieżka ataku była nadal badana.

Ta kombinacja wyjaśnia, dlaczego mosty wciąż przyciągają atakujących: koncentrują one pooled assets po obu stronach granicy łańcuchów i opierają się na logice weryfikacji wiadomości do zatwierdzania transferów, więc skompromitowana infrastruktura w połączeniu ze słabą kontrolą może zamienić fałszywą wiadomość w świeżo wybite wartości.

Cysic określiła zdarzenie jako ograniczone do przetwarzania wiadomości mostu i wybicia. Poinformowała, że istniejące aktywa użytkowników w portfelach nie zostały skradzione, a mainnet Cysic nie ucierpiał. Most został zawieszony jako środek ograniczenia szkód, a usługi międzyłańcuchowe przez niego pozostały zamknięte w trakcie przeglądów bezpieczeństwa.

Fundacja opublikowała adres odbiorcy wybicia jako 0xA4e1827Fe2664fD0797a55e442b2e2639449C255, a transakcję wybicia w BNB Smart Chain jako 0x8de43ba77f9a14ecff1268acb9d7c9bf3afe1f2a45bd8d8681d824a2460000f6. Tego samego dnia o 13:47:52 UTC Cysic poinformowała, że adres został umieszczony na czarnej liście w kontrakcie tokena CYS w BNB Smart Chain, co zablokowało transfery około 2,8 miliona CYS wciąż tam znajdujących się. Projekt podkreślił również, że surowa wielkość wybicia nie stanowiła sama w sobie ostatecznej straty w dolarach.

19 października fundacja poinformowała, że wszystkie relayer pozostają wstrzymane, wpłacone CYS w kontraktach mostu pozostają bezpieczne, a most zostanie ponownie otwarty dopiero po zakończeniu kontroli bezpieczeństwa.

Nagroda 10% i zegar 72 godzin

22 października Cysic Foundation zamieściła bezpośrednią ofertę dla strony stojącej za exploitem: około 10% nagrody w zamian za zwrot około 90% zidentyfikowanych wpływów w ETH z nieuprawnionego wybicia CYS. Warunki były precyzyjne. Sprawcy polecono wysłać 275,872 ETH w mainnecie Ethereum na adres kontrolowany przez fundację, 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9.

Jeśli ta kw wpłynęłaby w ciągu 72-godzinnego okna liczonego od publikacji wiadomości on-chain, sprawca mógłby zatrzymać około 30,652 ETH jako nagrodę. Cysic oświadczyła, że publicznie doceni współpracę i uzna swoje roszczenie dotyczące ETH w ramach oferty za rozstrzygnięte. Jeśli środki nie zostałyby zwrócone w terminie, fundacja oświadczyła, że skieruje sprawę do organów ścigania w celu pełnego postępowania karnego. Cysic opublikowała te same warunki jako wiadomości on-chain zarówno w BNB Chain, jak i Ethereum, a konto projektu @cysic_xyz wzmocniło ofertę tego samego dnia.

Zgodnie z publikacją zegar ten upływa 25 października — co oznacza, że piątkowe wpłaty do miksera pojawiły się wewnątrz okna, a nie po terminie.

Dlaczego ruch do miksera ma znaczenie

Opublikowana nagroda jest w istocie negocjacją. Wpłata do miksera to wyjście. Składając ofertę, Cysic zastosowała scenariusz white-hat, który wiele protokołów stosuje po awarii mostu: wskazać adres zwrotu, wycenić opłatę za zatrzymanie, ustawić zegar i grozić ściganiem. Alert PeckShield z piątku pokazuje zamiast tego, że oznaczone środki płyną do Tornado Cash.

Nie dowodzi to, że każdy dolar z exploitu przepałł na zawsze. Pokazuje jednak przesunięcie środków do narzędzia stworzonego, aby utrudniać proste śledzenie portfel-portfel. Wybicia na mostach i wpłaty do mikserów znajdują się na tej samej mapie co inne hacki kryptowalutowe, które zamieniają błędy protokołów w przenośne aktywa — Ronin w marcu 2022, Wormhole w lutym 2022 i BNB Bridge w październiku 2022 odnotowały każdy dziewięciocyfrowe opróżnienia mostów. Przypadek Cysic to także przypomnienie, że pierwszy nagłówek dotyczy zwykle samego exploitu, a cichszą historią jest to, dokąd trafiają dalej monety. Kolejne punkty kontrolne są on-chain: czy wymagane 275,872 ETH dotrze na adres fundacji przed terminem, czy Cysic przeprowadzi zapowiedzianą eskalację do organów ścigania, jeśli nie dotrze, oraz czy zawieszony most zostanie ponownie otwarty po zakończeniu kontroli bezpieczeństwa. Technologia stojąca za kradzieżami wciąż się zmienia, podczas gdy podstawowa psychologia — oferowanie części w zamian za zwrot, a następnie obserwowanie, czy druga strona przyjmie ofertę, czy sięgnie po ciemniejszą pulę — pozostaje w dużej mierze taka sama.