Acuñación de CYS sin respaldo en el puente de Cysic

El 17 de octubre de 2026, un atacante abusó del puente entre cadenas de Cysic para acuñar 10 millones de CYS sin respaldo en BNB Chain y vendió la mayor parte en minutos, obteniendo unos 306,6 ETH — alrededor de 727.000 dólares — antes de que el proyecto pudiera incluir en una lista negra los tokens robados. No se bloqueó nada en el otro lado para respaldar la nueva oferta, lo que convierte esto en un exploit de acuñación sin respaldo y no en un fondo de liquidez vaciado.

Qué ocurrió

Las conclusiones preliminares de Cysic indican que el atacante obtuvo acceso no autorizado a una base de datos utilizada por servicios que dan soporte al puente y luego explotó un fallo en la lógica de procesamiento de mensajes del puente para enviar una instrucción de acuñación fraudulenta. A las 12:31:38 UTC, el puente acuñó 10.000.000 de CYS en BNB Chain sin ningún depósito correspondiente bloqueado en otro lugar — equivalente a cerca del 6,2 % de la oferta en circulación y al 1 % del máximo de 1.000 millones.

El atacante actuó rápido. Entre las 12:36 y las 12:59 UTC vendió 7,2 millones de CYS en 15 transacciones, doce de ellas enrutadas a través del agregador DEX de OKX con ejecuciones en plataformas como PancakeSwap, primero por unos 588.315 USDT y después por unos 220 BNB. Los ingresos se trasladaron entre cadenas hacia Ethereum mediante Mayan, deBridge y SWFT, llegando como unos 306,6 ETH que luego se reenviaron en cinco transferencias a una segunda cartera (0x1106De394da07e90b02161465EA0421B74DB4691) hacia las 13:11 UTC. Cysic incluyó en la lista negra la dirección receptora en el contrato de CYS a las 13:47:52 UTC — 76 minutos después de la acuñación, momento en el que ya había salido de la dirección cerca del 72 % de la oferta ilícita.

Consecuencias

Cysic publicó un informe del incidente el 18 de octubre, señalando que el daño se limitó a las funciones de acuñación y procesamiento de mensajes del puente y no afectó a su mainnet, a otros sistemas operativos ni a las carteras de los usuarios. Cerca de 2,8 millones de CYS permanecen congelados en la dirección del atacante mediante la lista negra, pero ese control solo se aplica a los CYS en BNB Chain y no pudo alcanzar los ETH, que ya se habían reenviado. El proyecto suspendió el puente a la espera de una revisión de seguridad completa, contrató a una firma externa para rastrear los fondos y prometió un informe de seguimiento sobre las pérdidas verificadas. No se recuperaron fondos. CYS cayó a un mínimo histórico de 0,1076 $ ese día, alrededor de un 93 % por debajo de su máximo de agosto de 2026.

Por qué importa

Cysic es el tercer exploit de acuñación sin respaldo en una sola semana, tras Autheo, donde una clave de relayer de confianza acuñó 19 millones de THEO a través de un puente Hyperlane, y Pirate Chain, cuyo exploit conjuró 39,8 millones de ARRR de la nada. En cada caso el atacante no tuvo que romper la criptografía ni vaciar una bóveda — solo tuvo que convencer a la vía de acuñación de que un depósito inexistente era real. Una lista negra puede poner en cuarentena los tokens recién acuñados, como hizo aquí, pero resulta inútil una vez que el valor se ha cambiado por un activo líquido como ETH y se ha enviado por un puente. La lección perdurable de la era de Wormhole y Meter se mantiene: la función de acuñación de un puente es su superficie más peligrosa, porque una brecha de autorización ahí imprime dinero directamente.