Cysic coupe son pont : dix millions de CYS sans couverture, 6,22 % de circulation en plus

Soixante-seize minutes se sont écoulées entre le mint non autorisé et le gel, et le mal était déjà fait. Le samedi 17 octobre 2026, à 12:31:38 UTC, dix millions de CYS sont apparus sur la BNB Smart Chain sans que personne ait déposé un seul token. La Cysic Foundation a inscrit l'adresse destinataire sur la liste noire du contrat du token à 13:47:52 UTC. À cet instant, 7,2 millions des nouveaux tokens avaient déjà quitté l'adresse, soit quelque 72 % du mint.

Le pont par lequel l'attaque est passée est coupée depuis, et la fondation n'a annoncé aucune date de reprise. Pour les détenteurs, c'est là le véritable enjeu : le sort du reste d'une position ne se décide pas à l'écart de cours, mais à la question de savoir sur quelle blockchain se trouvent vos tokens et qui a le droit de les créer là-bas.

Ce qui est arrivé dans les 76 minutes entre le mint et la liste noire

La chronologie se lit dans les mouvements inscrits sur la blockchain, et elle est serrée. Cinq minutes après le mint, à 12:36 UTC, la première vague de ventes a commencé : 5,65 millions de CYS sont partis en cinq minutes contre 588 315 USDT, à une moyenne d'environ dix cents par token. À 12:44 UTC, 100 000 USDT ont quitté le dispositif via un service de bridging, et une minute plus tard 40,88 ETH arrivaient sur Ethereum.

À 12:53 UTC, 488 315 USDT ont suivi en six virements via un autre service. Entre 12:57 et 12:59 UTC s'est déroulée la deuxième vague de ventes, avec quelque 1,55 million de CYS qui ont rapporté environ 220 BNB. Peu après, entre 13:05 et 13:06 UTC, 80 puis 139 BNB ont été retirés par deux voies différentes. À 13:11 UTC, un second portefeuille a reçu 306,52 ETH en cinq virements. Le service spécialisé Cryptopolitan a reconstitué cette séquence à partir des transactions le 18 octobre.

Lorsque la liste noire a pris effet à 13:47:52 UTC, l'adresse n'avait plus envoyé de tokens depuis 48 minutes. Le gel n'a donc mordu qu'une fois la sortie des fonds terminée depuis longtemps ; il n'a touché que le reliquat.

Mint non autorisé : comment dix millions de CYS sont nés sans aucun dépôt

Un mint est la création de nouveaux tokens par un contrat intelligent. Sur un pont reliant plusieurs blockchains, cette opération est normalement adossée à une contrepartie : qui veut transférer des tokens d'une blockchain à une autre verrouille l'original sur la blockchain d'origine, et le contrat ne crée qu'ensuite une représentation sur la blockchain de destination. Cette représentation s'appelle un wrapped token et n'est rien d'autre qu'un bon sur l'original verrouillé.

C'est précisément ce couplage qui a rompu ici. Selon le rapport de la Cysic Foundation, publié le 18 octobre 2026 sur le compte @cysic_fdn, l'attaquant a obtenu un accès non autorisé à une base de données alimentant des services liés à l'exploitation du pont. Il a ensuite exploité une faille dans le traitement des messages pour soumettre une instruction de mint falsifiée qui a contourné la vérification. La fondation qualifie expressément ces constats de provisoires ; la cause définitive n'est pas encore confirmée.

Ce qui est né là n'était pas des doublons de tokens existants, mais dix millions d'unités sans aucune couverture sur la blockchain d'origine. Le bon existait, le gage derrière lui non.

La cause selon la Cysic Foundation : un accès à une base de données du pont

La fondation circonscrit clairement l'incident dans son rapport. Seuls le traitement des messages du pont et la création de tokens auraient été touchés. Le consensus, la production de blocs et l'exécution des contrats intelligents sur le mainnet de Cysic seraient restés intacts, et les soldes existants des utilisateurs n'auraient pas été volés.

Cette distinction compte, et les comptes rendus d'incidents l'estompent souvent. Une attaque contre un pont frappe la comptabilité entre deux blockchains, non les portefeuilles des utilisateurs. Qui détient ses tokens sous ses propres clés ne s'est rien fait prendre. Qui détient en revanche des tokens bridgés détient une créance dont la couverture vient de se dégrader.

6,22 % de circulation en plus : ce que le mint fait à la masse en circulation

L'ordre de grandeur n'apparaît qu'au regard de l'encours. Environ 160,8 millions de CYS circulent, sur une quantité maximale d'un milliard. Dix millions de tokens supplémentaires représentent donc 6,22 % de la masse en circulation, créés un samedi midi en un peu plus d'une minute. Au cours de 0,1113 dollar auquel le CYS se situe le 19 octobre 2026, le mint représente une contre-valeur d'environ 1,11 million de dollars.

Ce qui est décisif, c'est le rapport à la profondeur du marché. Le volume quotidien total du CYS tourne autour de 1,75 million de dollars. Les 7,2 millions de tokens vendus correspondent, au cours du jour, à quelque 801 000 dollars, soit presque la moitié d'une journée de négociation complète. Une pression vendeuse de cette ampleur ne peut pas être absorbée dans un marché de cette profondeur sans que le cours cède.

Le cours lui-même montre le peu de matelas disponible. Le CYS a atteint son plus haut le 15 août 2026 à 1,78 dollar, son plus bas se situe à 0,1063 dollar. À 0,1113 dollar, le token cote 4,7 % au-dessus de ce plus bas et 93,7 % sous son plus haut.

Liste noire dans le contrat : pourquoi 2,8 millions de CYS sont bloqués et 306 ETH non

Une liste noire est une fonction du contrat du token qui permet à l'exploitant d'exclure certaines adresses de l'envoi et de la réception. Elle a gelé ici quelque 2,8 millions de CYS, soit les 28 % du mint encore présents sur l'adresse destinataire.

La portée du gel s'arrête toutefois exactement au token. Il vaut pour le CYS sur la BNB Smart Chain et nulle part ailleurs. À ce moment, les produits de vente avaient déjà été échangés en USDT, en BNB puis au total en quelque 306,6 ETH et déplacés sur Ethereum, ce qui, à un cours de l'ether d'environ 2 372 dollars le 18 octobre, représentait une contre-valeur d'environ 727 000 dollars. La liste noire n'atteint pas ces fonds.

Pour juger un token, cela signifie deux choses. Une fonction de liste noire peut sauver, en cas de sinistre, ce qui n'a pas encore été déplacé, et dans ce cas précis elle a été utile. En même temps, son existence signifie qu'une instance centrale peut décider à tout moment de la mobilité de vos propres tokens.

Wrapped token et risque de pont : ce qu’est réellement un token bridgé

Qui transfère un token via un pont vers une autre blockchain échange un droit de propriété contre une créance. Sur la blockchain de destination, il détient une représentation dont la valeur dépend du maintien du verrouillage de l'original de l'autre côté et de l'impossibilité pour quiconque de créer d'autres représentations sans couverture. Les deux tiennent à la technique et aux clés de l'exploitant du pont.

Un portefeuille matériel ne protège pas contre ce type de dommage. L'appareil conserve la clé privée de telle sorte que personne ne peut vous retirer des tokens du portefeuille. Cela n'aide en rien contre une dilution de la masse en circulation sur la blockchain de destination, car l'attaque ne s'en prend pas du tout à votre clé. Quels appareils remplissent cette tâche et comment, et où se situent les différences d'usage, cela figure dans notre comparatif des portefeuilles matériels.

La seconde manière de contourner ce risque est de renoncer au pont. Qui conserve un token sur sa blockchain d'origine, ou le laisse chez un prestataire qui assure la conservation, porte d'autres risques, mais pas celui-là.

Le CYS sur 13 places de marché : pas une seule paire en euro

Pour les investisseurs en Allemagne, savoir où le token est disponible fait partie de l'évaluation du risque. cryptoticker.io a réalisé lui-même ce relevé le 19 octobre 2026. Il se fonde sur les 15 paires que CoinGecko recense pour le CYS, réparties sur 13 places de marché.

Le résultat : parmi ces 15 paires, aucune n'est libellée en euro. Neuf sont contre le stablecoin en dollars USDT, une contre le Bitcoin, une contre le won sud-coréen, et les quatre restantes contre des stablecoins directement sur la BNB Smart Chain. La plus grande place par volume se trouve en Corée du Sud. Les deux places décentralisées sur la BNB Smart Chain représentent 816 538 des 3,01 millions de dollars de volume quotidien total, soit 27,1 %.

Concrètement : qui veut acheter du CYS passe soit par une plateforme hors de l'Union européenne, soit par une place décentralisée sur précisément la blockchain où le mint a eu lieu. Un achat en euros auprès d'un prestataire relevant du règlement européen MiCA et exerçant son agrément en Allemagne n'est actuellement pas une voie pour ce token. Quels prestataires disposent de cet agrément et ce qu'il signifie pour vous figure dans le panorama des plateformes crypto réglementées.

700 millions de dollars via les ponts : Cysic dans le bilan 2026

L'incident n'est pas isolé, et cela se chiffre. cryptoticker.io a réalisé lui-même ce relevé le 19 octobre 2026, sur la base des 299 incidents que DefiLlama recense pour l'année 2026. Ensemble, ils totalisent 2,25 milliards de dollars de dommages.

Sur ce total, 32 incidents concernent des ponts et des procédés reliant plusieurs blockchains, pour un dommage cumulé de 700,1 millions de dollars. Dix-sept incidents portaient sur la création non autorisée de tokens, donc la même mécanique que chez Cysic, pour 349,2 millions de dollars. Le plus gros cas de ce type a frappé en septembre le Liquid Network, pour 320 millions de dollars.

Le cas Cysic est petit dans cette série. Ce qui le rend instructif, c'est la vitesse : 35 minutes se sont écoulées entre le premier message falsifié et la sortie des produits vers une autre blockchain. À quel point de telles failles sont difficiles à repérer en amont, notre article sur le périmètre des audits crypto l'a détaillé. Un cas voisin a touché en octobre le routage du Bitcoin via un autre pont, à lire dans notre rapport sur l'exploit chez Symbiosis.

Droits de mint, liste noire, couverture : ce que le contrat du token révèle

Trois propriétés d'un contrat de token déterminent l'ampleur de ce risque sur une position donnée, et toutes trois sont consultables publiquement.

La première est le droit de mint. Dans n'importe quel explorateur de blocs, le contrat vérifié indique s'il existe une fonction de mint et quelle adresse peut l'appeler. Si elle dépend d'une adresse unique, la sécurité de celle-ci décide de la masse en circulation. Si elle dépend d'un contrat à signatures multiples, la barre est plus haute.

La deuxième est la liste noire. Lorsqu'elle existe, l'exploitant peut immobiliser des adresses, au bénéfice des détenteurs en cas de sinistre et à leur détriment en cas de litige. Les deux entrent dans la balance.

La troisième est la couverture. Pour un token bridgé, la masse en circulation sur la blockchain de destination peut être comparée à l'encours verrouillé sur la blockchain d'origine. Là où l'une diverge de l'autre, il existe des représentations sans gage. C'est exactement cette différence qui a constitué le dommage du 17 octobre.

Documenter les pertes : ce qu’il faut pouvoir prouver en cas de perte totale

Qui est touché par un tel incident a d'abord besoin de preuves, quelle que soit l'issue de l'affaire. Le droit fiscal allemand traite les gains issus de la vente d'actifs crypto comme une cession privée, où le délai de détention d'un an et le seuil d'exonération jouent un rôle. La qualification, au cas par cas, d'une perte résultant d'un vol ou d'un token devenu sans valeur dépend des faits et relève du conseil fiscal ; il n'existe pas de réponse générale.

Indépendamment de cela, la situation probatoire peut être sécurisée : transactions avec horodatage et adresses, coûts d'acquisition, niveau du cours au moment de l'incident et publications du projet. Les outils qui consignent ces opérations à travers plusieurs plateformes et portefeuilles figurent dans le comparatif des logiciels fiscaux et suiveurs de portefeuille. Plus une telle documentation est tardive, plus elle est lacunaire.

La suite chez Cysic et les échéances qui restent ouvertes

La fondation a annoncé un second rapport portant sur le montant vérifié du dommage, le traçage des fonds et les contre-mesures. Aucune date n'est fixée. Reste tout aussi ouverte la date de reprise du pont ; la fondation en fait dépendre l'achèvement d'un audit de sécurité, pour lequel elle a fait appel à une société externe.

Jusque-là, la route entre le mainnet de Cysic et la BNB Smart Chain reste fermée. Les échanges de CYS sur la BNB Smart Chain se poursuivent, de même que sur les plateformes qui référencent le token. Reste ouverte la question du traitement des 2,8 millions de tokens gelés et de la masse en circulation accrue de 6,22 %. Si et comment les tokens supplémentaires seront retirés de la circulation, la fondation ne l'a pas dit à ce jour.

Pont de Cysic : sans reprise, la route vers la BNB Chain reste fermée

Trois démarches ont du sens maintenant, et dans cet ordre :

1. Vérifiez sur quelle blockchain se trouvent vos tokens. Pour tout encours bridgé, la règle vaut : la représentation ne vaut que ce que vaut sa couverture. Un encours détenu sous vos propres clés est protégé contre le vol, pas contre la dilution. Quel appareil vous convient, le comparatif des portefeuilles matériels le montre.
2. Examinez les droits de mint du contrat avant de racheter. Une adresse unique dotée du droit de mint est un risque qui se constate en deux minutes dans un explorateur de blocs. Pour tout ce que vous voulez acheter en euros chez un prestataire agréé, le panorama des plateformes crypto réglementées fixe le cadre.
3. Documentez chaque position avant que la situation ne s'éclaircisse. Coûts d'acquisition, dates et niveaux de cours méritent d'être consignés tant qu'ils restent accessibles. Les outils pour cela figurent dans le comparatif des logiciels fiscaux.

(Au 19 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)