По данным компании блокчейн-аналитики PeckShield, кошельки, помеченные как принадлежащие взломавшему мост Cysic, в пятницу внесли в Tornado Cash примерно 300 ETH и 30,4 BNB. Сумма депозитов составляет около $721 140 в эфире и $22 590 в BNB, или примерно $744 000 в совокупности. Перемещение произошло всего через несколько дней после того, как фонд Cysic публично предложил награду в размере 10% за возврат большей части идентифицированной добычи в ETH от эксплойта.

PeckShield отслеживает депозиты в микшер

В оповещении PeckShield от 23 октября, опубликованном в X, адрес, помеченный как принадлежащий взломавшему Cysic (@cysic_xyz), назван источником депозитов в Tornado Cash. Компания также напомнила о самом инциденте 17 октября, когда злоумышленники, как описал фонд Cysic, несанкционированно выпустили 10 млн CYS в BNB Chain.

Tornado Cash смешивает депозиты множества пользователей. Когда средства оказываются в пуле, последующие выводы становится сложнее привязать к конкретному депозиту, хотя офчейн-улики по-прежнему имеют значение. Микшер пережил собственную многолетнюю регуляторную историю — OFAC ввел против него санкции в августе 2022 года, американский апелляционный суд в конце 2024 года постановил, что его неизменяемые смарт-контракты не являются санкционной собственностью, а Минфин США снял санкции в марте 2025 года, — однако его появление в оповещении PeckShield показывает, что он остается привычным маркером в том, как аналитические компании отслеживают украденные средства. Для наблюдателей за криптопреступностью переводы в пятницу — знакомый второй акт после минта через мост: конвертировать, переместить, затем скрыть.

Минт через мост, о котором сообщили 17 октября

В своем отчете об инциденте фонд Cysic сообщил, что межсетевой мост подвергся атаке 17 октября 2026 года. Злоумышленник несанкционированно выпустил 10 000 CYS в BNB Smart Chain в 12:31:38 UTC. По данным Cysic, злоумышленник получил несанкционированный доступ к базе данных, поддерживавшей мост, а ошибка в логике обработки позволила пройти поддельному сообщению о минте. Фонд добавил, что полный путь атаки все еще расследуется.

Именно это сочетание объясняет, почему мосты продолжают привлекать злоумышленников: они концентрируют объединенные активы по обе стороны границы между сетями и полагаются на логику проверки сообщений для подтверждения переводов, поэтому скомпрометированная инфраструктура в сочетании со слабой проверкой может превратить поддельное сообщение во вновь выпущенную стоимость.

Cysic представил событие как ограниченное обработкой сообщений моста и минтом. По словам компании, существующие пользовательские активы в кошельках не были украдены, а основная сеть Cysic не пострадала. Мост был приостановлен в качестве меры сдерживания, и межсетевой сервис через него оставался закрытым на время проверки безопасности.

Фонд опубликовал адрес получателя минта — 0xA4e1827Fe2664fD0797a55e442b2e2639449C255 — и транзакцию минта в BNB Smart Chain — 0x8de43ba77f9a14ecff1268acb9d7c9bf3afe1f2a45bd8d8681d824a2460000f6. В 13:47:52 UTC того же дня Cysic сообщил, что адрес был добавлен в черный список в контракте токена CYS в BNB Smart Chain, что ограничило переводы около 2,8 млн CYS, все еще находившихся там. Проект также подчеркнул, что исходный объем минта сам по себе не является итоговым ущербом в долларах.

19 октября фонд сообщил, что все релееры остаются приостановленными, депонированные CYS в контрактах моста в безопасности, а мост откроется лишь после завершения проверок безопасности.

Награда в 10% и 72-часовой срок

22 октября фонд Cysic опубликовал прямое предложение стороне, стоявшей за эксплойтом: награду в размере примерно 10% в обмен на возврат около 90% идентифицированной добычи в ETH от несанкционированного минта CYS. Условия были точными. От злоумышленника требовалось отправить 275,872 ETH в основной сети Ethereum на контролируемый фондом адрес 0xe3e8E1147a47dCf42fa73892D74928544fe5a6A9.

Если бы эта сумма поступила в течение 72-часового окна с момента публикации сообщения в блокчейне, злоумышленник мог бы оставить себе около 30,652 ETH в качестве награды. Cysic заявил, что публично признает сотрудничество и сочтет свое требование по ETH в рамках предложения урегулированным. Если бы средства не были возвращены в срок, фонд, по его словам, передал бы дело в правоохранительные органы для полноценного уголовного расследования. Cysic опубликовал те же условия в виде ончейн-сообщений в BNB Chain и Ethereum, а аккаунт проекта @cysic_xyz в тот же день распространил это предложение.

Согласно публикации, этот срок истекает 25 октября — то есть пятничные депозиты в микшер появились внутри окна, а не после дедлайна.

Почему перевод в микшер важен

Опубликованная награда — это, по сути, перегы. Депозит в микшер — это выход. С этим предложением Cysic следовал сценарию «белых шляп», который многие протоколы используют после сбоя моста: назвать адрес для возврата, назначить плату за удержание, установить часы, пригрозить преследованием. Оповещение PeckShield в пятницу вместо этого показывает, что помеченная добыча уходит в Tornado Cash.

Это не доказывает, что каждый доллар от эксплойта утрачен навсегда. Но это показывает, что средства перемещаются в инструмент, созданный для того, чтобы ломать простое отслеживание от кошелька к кошельку. Минты через мосты и депозиты в микшеры находятся на одной карте с другими крипто-взломами, превращающими уязвимости протоколов в перемещаемые активы, — Ronin в марте 2022 года, Wormhole в феврале 2022 года и BNB Bridge в октябре 2022 года, каждый из которых потерял через мост суммы с девятью нулями. Дело Cysic также напоминает, что первый заголовок обычно касается самого эксплойта, тогда как более тихая история — куда уходят монеты дальше. Следующие контрольные точки находятся в блокчейне: дойдут ли требуемые 275,872 ETH до адреса фонда в срок, предпримет ли Cysic заявленную эскалацию в правоохранительные органы, если нет, и откроется ли приостановленный мост после завершения проверок безопасности. Технологии краж постоянно меняются, но лежащая в основе психология — предложить долю за возврат, а затем наблюдать, примет ли другая сторона сделку или обратится к более темному пулу, — остается практически той же.