Qué se sabe del ataque a Payy Network y qué sigue sin aclararse

Payy Network, una plataforma de pagos con monedas estables centrada en la privacidad, confirmó el 24 de septiembre de 2026 que su contrato puente en Ethereum había sido atacado y que se había sustraído su saldo. La empresa suspendió depósitos, retiros, transferencias y pagos con tarjeta mientras investigaba lo ocurrido.74 Para quienes utilizaban esos servicios, la consecuencia inmediata fue la imposibilidad de operar.

La transacción y las cifras

Según TokenPost, una transacción registrada alrededor de las 04:21 UTC, en el bloque 26.044.909 de Ethereum, sacó 1.832.149,4681 USDC del contrato. De esa cantidad, 1.828.589,3781 USDC fueron a una dirección; hubo además movimientos menores. Esa última cifra, por tanto, no equivale por sí sola al total retirado en la transacción.17

Los medios también presentan valoraciones distintas de la pérdida: la cifra más repetida ronda los 1,83 millones de dólares, mientras que otro reporte la sitúa cerca de 1,92 millones.413 Las fuentes disponibles no concilian ambas estimaciones ni permiten tratar la afirmación de que se perdió «el 95 %» del saldo en USDC como una cifra auditada.

Qué se sabe del mecanismo y del recorrido del dinero

Los reportes identifican una llamada maliciosa a verifyRollup, la función con la que el contrato confirma en Ethereum lotes de actividad procesada fuera de esa cadena.1413 Identificar esa función en la transacción no demuestra todavía si la causa de fondo fue una falla del circuito, un problema de validación o el uso indebido de claves.

Según información atribuida al investigador Specter Investigation, el atacante obtuvo fondos iniciales a través de Railgun, un protocolo de privacidad. Los reportes indican que después cambió los USDC sustraídos por ETH y distribuyó los fondos entre tres direcciones.1510 Otra cobertura cifra la conversión en aproximadamente 683 ETH, dato que las fuentes aquí disponibles no permiten verificar por separado.13 La financiación inicial mediante Railgun no prueba, por sí misma, que el protocolo fuera vulnerado ni establece qué efecto tendrá sobre una eventual recuperación.

Respuesta de Payy y preguntas pendientes

Payy notificó a las autoridades y trabaja con equipos de respuesta a incidentes, según los reportes sobre su anuncio.73 Al 25 de septiembre no se había comunicado una fecha de reanudación ni un desglose de posibles pérdidas de clientes.17 Tampoco hay, en la información disponible, un compromiso de reembolso confirmado. Un reporte menciona la evaluación de una actualización preventiva de la red, pero no acredita que ya se haya decidido o implementado.5

Hay antecedentes de un problema de seguridad anterior que, según una cobertura, se corrigió en junio de 2026.6 Sin embargo, las fuentes aportadas no permiten verificar los detalles de la supuesta falla que admitía mensajes de retiro falsificados, la versión 1.3.0 del parche ni una relación causal con el ataque de septiembre. Siguen abiertas las preguntas centrales: cómo se autorizó la transacción, adónde terminaron los activos, cuánto podría recuperarse y qué ocurrirá con los usuarios afectados.