Cysic ofrece una recompensa del 10% mientras el hacker blanquea el botín a través de Tornado Cash

El protocolo Cysic se encuentra en el centro de la atención tras sufrir una explotación de su bridge que permitió a un atacante acuñar 10 millones de tokens en BNB Smart Chain. En un intento por recuperar los fondos sustraídos, el equipo del proyecto ha ofrecido una recompensa del 10% al hacker, una práctica cada vez más común en el ecosistema DeFi cuando los equipos optan por la vía de la negociación en lugar de la confrontación legal inmediata. Sin embargo, la respuesta del atacante no ha sido la esperada: lejos de devolver los fondos, ha comenzado a mover el botín hacia Tornado Cash, el mezclador de transacciones que dificulta el rastreo de los activos en la blockchain.

Según los reportes, el atacante transfirió aproximadamente 744.000 dólares en ETH y BNB a Tornado Cash después de llevar a cabo la explotación. Este movimiento representa una señal clara de que el hacker no tiene intención de cooperar con la oferta de recompensa y, en cambio, está priorizando el blanqueo de los fondos para dificultar cualquier intento de recuperación o identificación. Tornado Cash, que opera en Ethereum y otras redes compatibles con la EVM, permite a los usuarios depositar y retirar criptomonedas de manera que se rompe el vínculo on-chain entre las direcciones de origen y destino, lo que complica enormemente las investigaciones forenses.

La explotación del bridge de Cysic pone de relieve, una vez más, las vulnerabilidades persistentes en la infraestructura de interoperabilidad entre cadenas. Los bridges han sido históricamente uno de los vectores de ataque más explotados en el ecosistema cripto, acumulando pérdidas multimillonarias a lo largo de los años. En este caso, el atacante logró acuñar 10 millones de tokens en BNB Smart Chain, lo que sugiere una falla crítica en los mecanismos de validación o en la lógica de emisión del bridge. La magnitud de la acuñación, muy superior a los fondos finalmente movidos a Tornado Cash, plantea interrogantes sobre cuánto del valor emitido pudo haberse liquidado antes de que el equipo detectara el incidente.

La oferta de una recompensa del 10% por parte de Cysic se enmarca en una tendencia que se ha consolidado en la industria: los proyectos víctimas de exploits suelen proponer acuerdos con los atacantes, ofreciéndoles una parte de los fondos a cambio de la devolución del resto y, en ocasiones, de la firma de un acuerdo de no divulgación o de inmunidad frente a acciones legales. Esta estrategia ha dado resultados mixtos. Mientras algunos hackers han aceptado las condiciones, otros han optado por ignorar las ofertas y proceder al blanqueo de los activos, como parece ser el caso de Cysic. La decisión del atacante de recurrir a Tornado Cash indica que confía en poder evadir el rastreo o que considera que la recompensa no compensa el riesgo de exponerse.

El uso de Tornado Cash también reactiva el debate regulatorio en torno a los mezcladores de privacidad. El servicio fue sancionado por la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos en 2022, lo que generó una ola de restricciones por parte de exchanges y proveedores de infraestructura. A pesar de estas medidas, Tornado Cash sigue siendo utilizado, en parte gracias a versiones descentralizadas y a la resistencia de ciertos actores del ecosistema. Para los investigadores, la presencia de fondos robados en el mezclador complica la trazabilidad, aunque no la hace imposible: el análisis de patrones de depósito y retiro, así como la colaboración con exchanges que aplican políticas KYC, puede permitir avances en la identificación de los responsables.

Para los usuarios de Cysic y de otros protocolos similares, el incidente subraya la importancia de evaluar los riesgos asociados a los bridges y a la infraestructura de interoperabilidad. La promesa de rendimientos atractivos o de funcionalidades cross-chain no debería eclipsar la necesidad de auditorías rigurosas, mecanismos de seguridad robustos y planes de contingencia claros. Asimismo, el episodio refuerza la idea de que la seguridad en DeFi es un proceso continuo y no un estado permanente: los equipos deben monitorear sus contratos de manera constante y estar preparados para responder con rapidez ante incidentes.

Por ahora, la comunidad permanece atenta a los movimientos del atacante y a la evolución de las investigaciones. Cysic no ha emitido declaraciones adicionales sobre el estado de las negociaciones ni sobre posibles medidas legales, y se desconoce si la recompensa del 10% sigue en pie tras la transferencia a Tornado Cash. Lo que queda claro es que el caso ilustra la compleja dinámica entre proyectos, atacantes y autoridades en un ecosistema donde la transparencia de la blockchain convive con herramientas diseñadas para oscurecer el rastro del dinero.