Cysic stoppt die Bridge: 10 Millionen CYS ohne Deckung, 6,22 Prozent mehr Umlauf

Zwischen dem unautorisierten Mint und der Sperre lagen 76 Minuten, und in dieser Zeit war der Schaden schon angerichtet. Am Samstag, dem 17. Oktober 2026, entstanden um 12:31:38 UTC auf der BNB Smart Chain zehn Millionen CYS, ohne dass jemand einen einzigen Token eingezahlt hatte. Die Cysic Foundation setzte die Empfängeradresse um 13:47:52 UTC auf die Blacklist des Token-Vertrags. Bis dahin hatten 7,2 Millionen der neuen Token die Adresse bereits verlassen, rund 72 Prozent des Mints.

Die Bridge, über die der Angriff lief, ist seitdem abgeschaltet, und einen Termin für den Wiederanlauf hat die Stiftung nicht genannt. Für Halter ist das der eigentliche Punkt: Über den Rest der Position entscheidet nicht der Kursausschlag, sondern die Frage, auf welcher Blockchain die eigenen Token liegen und wer sie dort erzeugen darf.

Was in den 76 Minuten zwischen Mint und Blacklist geschah

Die Chronologie lässt sich an den Bewegungen auf der Blockchain ablesen, und sie ist eng getaktet. Fünf Minuten nach dem Mint, um 12:36 UTC, begann die erste Verkaufsrunde: 5,65 Millionen CYS gingen innerhalb von fünf Minuten für 588.315 USDT weg, zu einem Durchschnitt von etwa zehn Cent je Token. Um 12:44 UTC verließen 100.000 USDT das Umfeld über einen Bridging-Dienst, eine Minute später kamen 40,88 ETH auf Ethereum an.

Um 12:53 UTC folgten 488.315 USDT in sechs Überweisungen über einen weiteren Dienst. Zwischen 12:57 und 12:59 UTC lief die zweite Verkaufsrunde mit rund 1,55 Millionen CYS, die etwa 220 BNB einbrachten. Kurz darauf, zwischen 13:05 und 13:06 UTC, wurden 80 und 139 BNB über zwei verschiedene Wege abgezogen. Um 13:11 UTC erhielt eine zweite Wallet in fünf Überweisungen 306,52 ETH. Diese Abfolge hat der Branchendienst Cryptopolitan am 18. Oktober anhand der Transaktionen nachgezeichnet.

Als die Blacklist um 13:47:52 UTC griff, hatte die Adresse seit 48 Minuten keine Token mehr verschickt. Die Sperre griff damit erst, als der Abfluss längst beendet war; betroffen war nur der liegen gebliebene Rest.

Unautorisierter Mint: Wie zehn Millionen CYS ohne Einzahlung entstanden

Ein Mint ist das Erzeugen neuer Token durch einen Smart Contract. Bei einer blockchainübergreifenden Bridge ist dieser Vorgang normalerweise an eine Gegenleistung gebunden: Wer Token von einer Blockchain auf eine andere bringen will, sperrt das Original auf der Herkunftsblockchain, und erst dann erzeugt der Vertrag auf der Zielblockchain ein Abbild. Dieses Abbild heißt Wrapped Token und ist nichts anderes als ein Gutschein auf das gesperrte Original.

Genau diese Kopplung ist hier gerissen. Nach dem Bericht der Cysic Foundation, veröffentlicht am 18. Oktober 2026 auf dem Konto @cysic_fdn, verschaffte sich der Angreifer unautorisierten Zugriff auf eine Datenbank, die Dienste rund um den Bridge-Betrieb versorgt. Anschließend nutzte er eine Schwachstelle in der Verarbeitung der Nachrichten, um eine gefälschte Mint-Anweisung einzureichen, die die Prüfung umging. Die Stiftung bezeichnet diese Befunde ausdrücklich als vorläufig; die endgültige Ursache ist noch nicht bestätigt.

Was dabei entstand, waren keine Dubletten bestehender Token, sondern zehn Millionen Stück ohne jede Deckung auf der Herkunftsblockchain. Der Gutschein existierte, das Pfand dahinter nicht.

Die Ursache laut Cysic Foundation: Zugriff auf eine Datenbank der Bridge

Die Stiftung grenzt den Vorfall in ihrem Bericht klar ein. Betroffen sei ausschließlich die Verarbeitung der Bridge-Nachrichten und das Erzeugen von Token. Konsens, Blockproduktion und die Ausführung von Smart Contracts auf dem Cysic-Mainnet seien unberührt geblieben, und bestehende Nutzer-Guthaben seien nicht gestohlen worden.

Diese Unterscheidung ist wichtig, und sie wird in Berichten über Vorfälle oft verwischt. Ein Angriff auf eine Bridge trifft die Buchhaltung zwischen zwei Blockchains, nicht die Wallets der Nutzer. Wessen Token im eigenen Schlüsselbesitz liegen, dem wurde nichts entwendet. Wer dagegen gebrückte Token hält, hält einen Anspruch, dessen Deckung sich gerade verschlechtert hat.

6,22 Prozent mehr Umlauf: Was der Mint mit der Umlaufmenge macht

Die Größenordnung erschließt sich erst im Verhältnis zum Bestand. Im Umlauf sind rund 160,8 Millionen CYS von einer Höchstmenge von einer Milliarde. Zehn Millionen zusätzliche Token entsprechen damit 6,22 Prozent der Umlaufmenge, entstanden an einem Samstagmittag in etwas mehr als einer Minute. Zum Kurs von 0,1113 Dollar, bei dem CYS am 19. Oktober 2026 steht, hat der Mint einen Gegenwert von rund 1,11 Millionen Dollar.

Entscheidend ist dabei das Verhältnis zur Markttiefe. Der gesamte Tagesumsatz von CYS liegt bei etwa 1,75 Millionen Dollar. Die 7,2 Millionen verkauften Token entsprechen zum heutigen Kurs rund 801.000 Dollar und damit knapp der Hälfte eines kompletten Handelstages. Ein Verkaufsdruck dieser Größe lässt sich in einem Markt dieser Tiefe nicht aufnehmen, ohne dass der Kurs nachgibt.

Der Kurs selbst zeigt, wie wenig Polster da ist. Sein Hoch erreichte CYS am 15. August 2026 bei 1,78 Dollar, sein Tief liegt bei 0,1063 Dollar. Mit 0,1113 Dollar notiert der Token 4,7 Prozent über diesem Tief und 93,7 Prozent unter dem Hoch.

Blacklist im Token-Vertrag: Warum 2,8 Millionen CYS feststecken und 306 ETH nicht

Eine Blacklist ist eine Funktion im Token-Vertrag, mit der der Betreiber einzelne Adressen vom Senden und Empfangen ausschließen kann. Eingefroren hat sie hier rund 2,8 Millionen CYS, also die 28 Prozent des Mints, die noch auf der Empfängeradresse lagen.

Die Reichweite der Sperre endet jedoch genau am Token. Die Sperre gilt für CYS auf der BNB Smart Chain und sonst nirgends. Die Erlöse waren zu diesem Zeitpunkt bereits in USDT, BNB und schließlich in insgesamt rund 306,6 ETH getauscht und auf Ethereum verschoben, was bei einem Ether-Kurs von etwa 2.372 Dollar am 18. Oktober einem Gegenwert von rund 727.000 Dollar entsprach. An diese Mittel reicht die Blacklist nicht heran.

Für die Beurteilung eines Tokens heißt das zweierlei. Eine Blacklist-Funktion kann im Schadensfall retten, was noch nicht bewegt wurde, und in genau diesem Fall war sie nützlich. Zugleich bedeutet ihre Existenz, dass eine zentrale Stelle jederzeit über die Beweglichkeit deiner eigenen Token entscheiden kann.

Wrapped Token und Bridge-Risiko: Was ein gebrückter Token wirklich ist

Wer einen Token über eine Bridge auf eine andere Blockchain bringt, tauscht ein Eigentumsrecht gegen einen Anspruch. Auf der Zielblockchain hält er ein Abbild, dessen Wert davon abhängt, dass das Original drüben gesperrt bleibt und dass niemand weitere Abbilder ohne Deckung erzeugen kann. Beides hängt an der Technik und an den Schlüsseln des Bridge-Betreibers.

Eine Hardware-Wallet schützt gegen diese Art von Schaden nicht. Das Gerät verwahrt den privaten Schlüssel so, dass niemand dir Token aus der Wallet nehmen kann. Gegen eine Verwässerung der Umlaufmenge auf der Zielblockchain hilft das nicht, weil der Angriff gar nicht an deinem Schlüssel ansetzt. Welche Geräte diese Aufgabe wie lösen und wo die Unterschiede in der Bedienung liegen, steht in unserem Vergleich der Hardware-Wallets.

Der zweite Weg, dieses Risiko zu umgehen, ist der Verzicht auf die Bridge. Wer einen Token auf seiner Herkunftsblockchain hält oder ihn bei einem Anbieter liegen lässt, der die Verwahrung übernimmt, trägt dafür andere Risiken, aber nicht dieses.

CYS an 13 Handelsplätzen: kein einziges Euro-Paar

Für Anleger in Deutschland ist die Frage, wo der Token überhaupt zu haben ist, Teil der Risikoabwägung. Diese Auswertung hat cryptoticker.io am 19. Oktober 2026 selbst erhoben. Grundlage sind die 15 Handelspaare, die CoinGecko für CYS führt, verteilt auf 13 Handelsplätze.

Das Ergebnis: Unter diesen 15 Paaren ist kein einziges gegen Euro. Neun laufen gegen den Dollar-Stablecoin USDT, eines gegen Bitcoin, eines gegen die südkoreanische Won, die übrigen vier gegen Stablecoins direkt auf der BNB Smart Chain. Der größte Einzelplatz nach Umsatz liegt in Südkorea. Auf die beiden dezentralen Handelsplätze auf der BNB Smart Chain entfallen 816.538 der insgesamt 3,01 Millionen Dollar Tagesumsatz, also 27,1 Prozent.

Praktisch heißt das: Wer CYS kaufen will, geht entweder über eine Börse außerhalb der Europäischen Union oder über einen dezentralen Handelsplatz auf genau jener Blockchain, auf der der Mint stattgefunden hat. Ein Kauf in Euro bei einem Anbieter, der unter die europäische Verordnung MiCA fällt und seine Zulassung in Deutschland nutzt, ist bei diesem Token derzeit kein Weg. Welche Anbieter diese Zulassung haben und was sie für dich bedeutet, steht in der Übersicht der regulierten Kryptobörsen.

700 Millionen Dollar über Brücken: Cysic in der Jahresbilanz 2026

Der Vorfall steht nicht allein, und das lässt sich beziffern. Diese Auswertung hat cryptoticker.io am 19. Oktober 2026 selbst erhoben, auf Grundlage der 299 Vorfälle, die DefiLlama für das Jahr 2026 verzeichnet. Zusammen stehen dort 2,25 Milliarden Dollar Schaden.

Davon entfallen 32 Vorfälle auf Brücken und blockchainübergreifende Verfahren, mit einem Schaden von zusammen 700,1 Millionen Dollar. Siebzehn Vorfälle betrafen das unberechtigte Erzeugen von Token, also dieselbe Mechanik wie bei Cysic, mit 349,2 Millionen Dollar. Der größte Einzelfall dieser Art traf im September das Liquid Network mit 320 Millionen Dollar.

Der Cysic-Fall ist in dieser Reihe klein. Was ihn lehrreich macht, ist die Geschwindigkeit: Von der ersten gefälschten Nachricht bis zum Abfluss der Erlöse auf eine andere Blockchain vergingen 35 Minuten. Wie schwer solche Lücken im Vorfeld zu finden sind, hat unser Beitrag zum Prüfumfang von Krypto-Audits aufgeschlüsselt. Ein ähnlich gelagerter Fall traf im Oktober das Routing von Bitcoin über eine andere Brücke, nachzulesen in unserem Bericht zum Exploit bei Symbiosis.

Mint-Rechte, Blacklist, Deckung: Was am Token-Vertrag ablesbar ist

Drei Eigenschaften eines Token-Vertrags entscheiden darüber, wie groß dieses Risiko bei einer bestimmten Position ist, und alle drei sind öffentlich einsehbar.

Die erste ist das Mint-Recht. In jedem Block-Explorer lässt sich am verifizierten Vertrag nachsehen, ob es eine Mint-Funktion gibt und welche Adresse sie aufrufen darf. Hängt sie an einer einzelnen Adresse, entscheidet deren Sicherheit über die Umlaufmenge. Hängt sie an einem Vertrag mit mehreren Unterschriften, ist die Hürde höher.

Die zweite ist die Blacklist. Existiert sie, kann der Betreiber Adressen stilllegen, im Schadensfall zum Nutzen der Halter und im Streitfall zu ihrem Nachteil. Beides gehört zur Abwägung.

Die dritte ist die Deckung. Bei einem gebrückten Token lässt sich die Umlaufmenge auf der Zielblockchain mit dem Bestand vergleichen, der auf der Herkunftsblockchain gesperrt ist. Weicht das eine vom anderen ab, gibt es Abbilder ohne Pfand. Genau diese Differenz war am 17. Oktober der Schaden.

Verluste dokumentieren: Was bei einem Totalausfall zu belegen ist

Wer von einem solchen Vorfall betroffen ist, braucht zuerst Belege, und zwar unabhängig davon, wie der Fall ausgeht. Das deutsche Steuerrecht behandelt Gewinne aus dem Verkauf von Kryptowerten als privates Veräußerungsgeschäft, bei dem die Haltefrist von einem Jahr und die Freigrenze eine Rolle spielen. Wie ein Verlust aus einem Diebstahl oder einem wertlos gewordenen Token im Einzelfall einzuordnen ist, hängt vom Sachverhalt ab und gehört in die steuerliche Beratung; eine pauschale Antwort gibt es dafür nicht.

Unabhängig davon lässt sich die Beweislage sichern: Transaktionen mit Zeitpunkt und Adressen, Anschaffungskosten, der Kursstand zum Zeitpunkt des Vorfalls und die Veröffentlichungen des Projekts. Werkzeuge, die solche Vorgänge über mehrere Börsen und Wallets hinweg mitschreiben, stehen im Vergleich der Steuer-Tools und Portfolio-Tracker. Je später eine solche Dokumentation entsteht, desto lückenhafter wird sie.

Wie es bei Cysic weitergeht und welche Termine offen sind

Die Stiftung hat angekündigt, einen zweiten Bericht nachzulegen, der die geprüfte Schadenshöhe, die Verfolgung der Mittel und die Gegenmaßnahmen behandelt. Ein Datum dafür steht nicht fest. Ebenso offen ist, wann die Bridge wieder läuft; als Bedingung nennt die Stiftung den Abschluss einer Sicherheitsprüfung, für die sie eine externe Firma hinzugezogen hat.

Bis dahin bleibt der Weg zwischen dem Cysic-Mainnet und der BNB Smart Chain zu. Der Handel mit CYS auf der BNB Smart Chain selbst läuft weiter, ebenso der Handel an den Börsen, die den Token führen. Was offen bleibt, ist die Frage, wie mit den 2,8 Millionen eingefrorenen Token und mit der um 6,22 Prozent gewachsenen Umlaufmenge umgegangen wird. Ob und wie die zusätzlichen Token wieder aus dem Umlauf genommen werden, hat die Stiftung bislang nicht gesagt.

Cysic-Bridge: Ohne Wiederanlauf bleibt der Weg zur BNB Chain zu

Drei Schritte ergeben jetzt Sinn, und zwar in dieser Reihenfolge:

1. Prüfe, auf welcher Blockchain deine Token liegen. Bei jedem gebrückten Bestand gilt: Das Abbild ist nur so viel wert wie seine Deckung. Liegt der Bestand im eigenen Schlüsselbesitz, ist er gegen Diebstahl geschützt, nicht gegen Verwässerung. Welches Gerät dafür zu dir passt, zeigt der Vergleich der Hardware-Wallets.
2. Sieh dir die Mint-Rechte des Vertrags an, bevor du nachkaufst. Eine einzelne Adresse mit Mint-Recht ist ein Risiko, das sich in zwei Minuten im Block-Explorer feststellen lässt. Für alles, was du in Euro und bei einem zugelassenen Anbieter kaufen willst, gibt die Übersicht der regulierten Kryptobörsen den Rahmen vor.
3. Dokumentiere jede Position, bevor sich die Lage klärt. Anschaffungskosten, Zeitpunkte und Kursstände gehören festgehalten, solange sie noch abrufbar sind. Die Werkzeuge dafür stehen im Vergleich der Steuer-Tools.

(Stand: 19. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)