Cysic apaga su puente: diez millones de CYS sin cobertura y un 6,22 % más de circulación

Entre el mint no autorizado y el bloqueo pasaron 76 minutos, y en ese tiempo el daño ya estaba hecho. El sábado 17 de octubre de 2026, a las 12:31:38 UTC, surgieron en la BNB Smart Chain diez millones de CYS sin que nadie hubiera depositado un solo token. La Cysic Foundation incluyó la dirección receptora en la lista negra del contrato del token a las 13:47:52 UTC. Hasta entonces, 7,2 millones de los nuevos tokens habían salido ya de la dirección, en torno al 72 % del mint.

El puente por el que corrió el ataque está apagado desde entonces, y la fundación no ha dado fecha para su reanudación. Para los tenedores ese es el punto de fondo: lo que decide el destino del resto de una posición no es el movimiento del precio, sino la pregunta de en qué blockchain están tus tokens y quién puede crearlos allí.

Qué ocurrió en los 76 minutos entre el mint y la lista negra

La cronología se lee en los movimientos registrados en la blockchain, y va muy apretada. Cinco minutos después del mint, a las 12:36 UTC, empezó la primera ronda de ventas: 5,65 millones de CYS salieron en cinco minutos por 588.315 USDT, a una media de unos diez céntimos por token. A las 12:44 UTC, 100.000 USDT dejaron el entorno a través de un servicio de bridging, y un minuto más tarde llegaban 40,88 ETH a Ethereum.

A las 12:53 UTC siguieron 488.315 USDT en seis transferencias a través de otro servicio. Entre las 12:57 y las 12:59 UTC corrió la segunda ronda de ventas, con unos 1,55 millones de CYS que rindieron alrededor de 220 BNB. Poco después, entre las 13:05 y las 13:06 UTC, se retiraron 80 y 139 BNB por dos vías distintas. A las 13:11 UTC, una segunda cartera recibió 306,52 ETH en cinco transferencias. El servicio especializado Cryptopolitan reconstruyó esta secuencia a partir de las transacciones el 18 de octubre.

Cuando la lista negra surtió efecto a las 13:47:52 UTC, la dirección llevaba 48 minutos sin enviar tokens. El bloqueo mordió, por tanto, cuando la salida de fondos había terminado hacía rato; solo alcanzó al resto que había quedado allí.

Mint no autorizado: cómo surgieron diez millones de CYS sin ingreso alguno

Un mint es la creación de nuevos tokens por un contrato inteligente. En un puente entre blockchains, esa operación va normalmente ligada a una contrapartida: quien quiere llevar tokens de una blockchain a otra bloquea el original en la blockchain de origen, y solo entonces el contrato crea una representación en la blockchain de destino. Esa representación se llama wrapped token y no es otra cosa que un vale sobre el original bloqueado.

Precisamente ese acoplamiento se rompió aquí. Según el informe de la Cysic Foundation, publicado el 18 de octubre de 2026 en la cuenta @cysic_fdn, el atacante obtuvo acceso no autorizado a una base de datos que alimenta servicios en torno a la operación del puente. Después aprovechó una vulnerabilidad en el procesamiento de los mensajes para presentar una instrucción de mint falsificada que eludió la comprobación. La fundación califica expresamente estos hallazgos de provisionales; la causa definitiva aún no está confirmada.

Lo que surgió con ello no fueron duplicados de tokens existentes, sino diez millones de unidades sin ninguna cobertura en la blockchain de origen. El vale existía, la prenda detrás de él no.

La causa según la Cysic Foundation: acceso a una base de datos del puente

La fundación acota con claridad el incidente en su informe. Afectados habrían sido solo el procesamiento de los mensajes del puente y la creación de tokens. El consenso, la producción de bloques y la ejecución de contratos inteligentes en la mainnet de Cysic habrían quedado intactos, y los saldos existentes de los usuarios no habrían sido robados.

Esa distinción importa, y en las crónicas de incidentes se difumina a menudo. Un ataque a un puente golpea la contabilidad entre dos blockchains, no las carteras de los usuarios. A quien tiene sus tokens bajo sus propias claves no le han quitado nada. Quien, en cambio, tiene tokens pasados por un puente tiene un derecho cuya cobertura acaba de empeorar.

Un 6,22 % más de circulación: qué hace el mint con la oferta circulante

La magnitud solo se entiende en relación con el saldo existente. En circulación hay unos 160,8 millones de CYS de una cantidad máxima de mil millones. Diez millones de tokens adicionales equivalen, por tanto, al 6,22 % de la oferta circulante, creados un sábado al mediodía en algo más de un minuto. Al precio de 0,1113 dólares en el que CYS se mueve el 19 de octubre de 2026, el mint tiene un contravalor de unos 1,11 millones de dólares.

Lo decisivo es la relación con la profundidad del mercado. El volumen diario total de CYS ronda 1,75 millones de dólares. Los 7,2 millones de tokens vendidos equivalen al precio de hoy a unos 801.000 dólares y, con ello, a casi la mitad de una jornada completa de negociación. Una presión vendedora de ese tamaño no se puede absorber en un mercado de esa profundidad sin que el precio ceda.

El precio mismo muestra lo escaso que es el colchón. CYS alcanzó su máximo el 15 de agosto de 2026 en 1,78 dólares y su mínimo está en 0,1063 dólares. Con 0,1113 dólares, el token cotiza un 4,7 % por encima de ese mínimo y un 93,7 % por debajo del máximo.

Lista negra en el contrato: por qué 2,8 millones de CYS están atascados y 306 ETH no

Una lista negra es una función del contrato del token con la que el operador puede excluir direcciones concretas del envío y la recepción. Aquí congeló unos 2,8 millones de CYS, es decir el 28 % del mint que seguía en la dirección receptora.

El alcance del bloqueo termina, sin embargo, exactamente en el token. Rige para CYS en la BNB Smart Chain y en ningún otro sitio. Para ese momento, los ingresos ya se habían canjeado por USDT, BNB y finalmente por unos 306,6 ETH en total y se habían trasladado a Ethereum, lo que a un precio del ether de unos 2.372 dólares el 18 de octubre equivalía a unos 727.000 dólares. A esos fondos la lista negra no llega.

Para valorar un token eso significa dos cosas. Una función de lista negra puede salvar, en caso de daño, lo que todavía no se ha movido, y en este caso concreto fue útil. Al mismo tiempo, su existencia significa que una instancia central puede decidir en cualquier momento sobre la movilidad de tus propios tokens.

Wrapped token y riesgo de puente: qué es realmente un token pasado por un puente

Quien lleva un token a otra blockchain a través de un puente cambia un derecho de propiedad por un derecho de crédito. En la blockchain de destino tiene una representación cuyo valor depende de que el original siga bloqueado al otro lado y de que nadie pueda crear más representaciones sin cobertura. Ambas cosas dependen de la técnica y de las claves del operador del puente.

Una cartera hardware no protege contra este tipo de daño. El dispositivo guarda la clave privada de modo que nadie pueda sacarte tokens de la cartera. Contra una dilución de la oferta circulante en la blockchain de destino eso no sirve, porque el ataque no va contra tu clave. Qué dispositivos resuelven esa tarea y cómo, y dónde están las diferencias de manejo, figura en nuestra comparativa de carteras hardware.

La segunda forma de esquivar este riesgo es renunciar al puente. Quien mantiene un token en su blockchain de origen, o lo deja en un proveedor que asume la custodia, carga con otros riesgos, pero no con este.

CYS en 13 plazas de negociación: ni un solo par en euros

Para los inversores en Alemania, dónde se puede conseguir el token forma parte de la ponderación del riesgo. cryptoticker.io elaboró este recuento por su cuenta el 19 de octubre de 2026. Se basa en los 15 pares que CoinGecko recoge para CYS, repartidos en 13 plazas de negociación.

El resultado: entre esos 15 pares no hay ni uno contra el euro. Nueve van contra la stablecoin en dólares USDT, uno contra Bitcoin, uno contra el won sudcoreano y los cuatro restantes contra stablecoins directamente en la BNB Smart Chain. La mayor plaza individual por volumen está en Corea del Sur. Las dos plazas descentralizadas en la BNB Smart Chain concentran 816.538 de los 3,01 millones de dólares de volumen diario total, es decir el 27,1 %.

En la práctica eso significa: quien quiera comprar CYS pasa o por un exchange fuera de la Unión Europea o por una plaza descentralizada en precisamente aquella blockchain en la que tuvo lugar el mint. Una compra en euros en un proveedor sujeto al reglamento europeo MiCA y que ejerce su autorización en Alemania no es hoy una vía para este token. Qué proveedores tienen esa autorización y qué significa para ti figura en el panorama de los exchanges cripto regulados.

700 millones de dólares a través de puentes: Cysic en el balance de 2026

El incidente no está solo, y eso se puede cifrar. cryptoticker.io elaboró este recuento por su cuenta el 19 de octubre de 2026, sobre la base de los 299 incidentes que DefiLlama registra para el año 2026. Juntos suman 2.250 millones de dólares de daños.

De ellos, 32 incidentes corresponden a puentes y procedimientos entre blockchains, con un daño conjunto de 700,1 millones de dólares. Diecisiete incidentes afectaron a la creación no autorizada de tokens, es decir la misma mecánica que en Cysic, con 349,2 millones de dólares. El mayor caso individual de este tipo golpeó en septiembre a Liquid Network con 320 millones de dólares.

El caso de Cysic es pequeño en esa serie. Lo que lo hace instructivo es la velocidad: desde el primer mensaje falsificado hasta la salida de los ingresos hacia otra blockchain pasaron 35 minutos. Lo difíciles que son de encontrar de antemano esas brechas lo desglosó nuestro artículo sobre el alcance de las auditorías cripto. Un caso parecido golpeó en octubre al enrutado de Bitcoin por otro puente, como se lee en nuestro informe sobre el exploit en Symbiosis.

Derechos de mint, lista negra, cobertura: qué se lee en el contrato del token

Tres propiedades de un contrato de token deciden cuánto riesgo supone esto en una posición concreta, y las tres son de consulta pública.

La primera es el derecho de mint. En cualquier explorador de bloques se puede ver en el contrato verificado si existe una función de mint y qué dirección puede invocarla. Si pende de una única dirección, la seguridad de esa dirección decide sobre la oferta circulante. Si pende de un contrato con varias firmas, el listón está más alto.

La segunda es la lista negra. Si existe, el operador puede inmovilizar direcciones, en beneficio de los tenedores en caso de daño y en su perjuicio en caso de disputa. Las dos cosas entran en la ponderación.

La tercera es la cobertura. En un token pasado por un puente se puede comparar la oferta circulante en la blockchain de destino con el saldo bloqueado en la blockchain de origen. Donde una se desvía de la otra hay representaciones sin prenda. Esa diferencia fue precisamente el daño del 17 de octubre.

Documentar las pérdidas: qué hay que acreditar en caso de pérdida total

Quien se vea afectado por un incidente así necesita primero pruebas, con independencia de cómo termine el caso. El derecho fiscal alemán trata las ganancias por la venta de criptoactivos como una enajenación privada, en la que el plazo de tenencia de un año y el límite de exención juegan un papel. Cómo encajar en cada caso una pérdida por robo o por un token que ha quedado sin valor depende de los hechos y corresponde al asesoramiento fiscal; para eso no hay una respuesta general.

Al margen de eso, la base probatoria se puede asegurar: transacciones con momento y direcciones, costes de adquisición, el nivel del precio en el momento del incidente y las publicaciones del proyecto. Las herramientas que registran esas operaciones a través de varios exchanges y carteras figuran en la comparativa de programas fiscales y rastreadores de cartera. Cuanto más tarde se elabore esa documentación, más lagunas tendrá.

Cómo sigue el caso de Cysic y qué fechas quedan abiertas

La fundación ha anunciado un segundo informe que abordará el importe comprobado del daño, el seguimiento de los fondos y las contramedidas. No hay fecha para ello. Igual de abierta está la reanudación del puente; como condición, la fundación señala la conclusión de una auditoría de seguridad, para la que ha recurrido a una empresa externa.

Hasta entonces, la vía entre la mainnet de Cysic y la BNB Smart Chain sigue cerrada. La negociación de CYS en la propia BNB Smart Chain continúa, igual que en los exchanges que recogen el token. Lo que queda abierto es cómo se tratarán los 2,8 millones de tokens congelados y la oferta circulante, que ha crecido un 6,22 %. Si los tokens adicionales se retirarán de la circulación, y cómo, la fundación no lo ha dicho hasta ahora.

Puente de Cysic: sin reanudación la vía a BNB Chain sigue cerrada

Tres pasos tienen sentido ahora, y en este orden:

1. Comprueba en qué blockchain están tus tokens. Para todo saldo pasado por un puente vale la regla: la representación solo vale lo que vale su cobertura. Un saldo bajo tus propias claves está protegido contra el robo, no contra la dilución. Qué dispositivo te encaja lo muestra la comparativa de carteras hardware.
2. Mira los derechos de mint del contrato antes de comprar más. Una única dirección con derecho de mint es un riesgo que se constata en dos minutos en un explorador de bloques. Para todo lo que quieras comprar en euros en un proveedor autorizado, el panorama de los exchanges cripto regulados marca el marco.
3. Documenta cada posición antes de que se aclare la situación. Costes de adquisición, fechas y niveles de precio conviene anotarlos mientras siguen siendo consultables. Las herramientas para eso están en la comparativa de programas fiscales.

(19 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)