Payy Network suspend ses paiements après une attaque sur Ethereum

Pour les utilisateurs de Payy Network, la conséquence immédiate est l’arrêt des paiements : la plateforme, spécialisée dans les paiements en stablecoins axés sur la confidentialité, a suspendu dépôts, retraits, transferts et opérations par carte après l’attaque de son contrat sur Ethereum, le 24 septembre 2026.37

Une transaction, plusieurs montants cités

Selon TokenPost, 1 832 149,4681 USDC ont quitté le contrat lors d’une transaction enregistrée au bloc Ethereum 26 044 909, à 04 h 21 min 23 s UTC. Sur cette somme, 1 828 589,3781 USDC ont été envoyés à une seule adresse ; des transferts plus modestes expliquent la différence entre les deux chiffres.17 La mention selon laquelle ce dernier montant représenterait « environ 95 % » du solde du contrat ne peut pas être vérifiée à partir des éléments disponibles.

Les estimations publiées ne coïncident pas toutes : plusieurs comptes rendus parlent d’environ 1,83 million de dollars en USDC, tandis qu’un autre avance 1,92 million de dollars.413 Ces montants ne doivent pas être présentés comme un bilan définitif unique.

Ce que l’on sait du mécanisme

La transaction malveillante aurait utilisé verifyRollup, fonction par laquelle le système de Payy confirme sur Ethereum des lots d’opérations effectuées hors chaîne.1314 Un signalement de sécurité affirme que le lot a été soumis avec la clé de preuve de Payy et signé avec sa clé de validation.16 Cela ne démontre toutefois pas, à ce stade, si l’attaque découle de clés compromises, d’un défaut de circuit cryptographique ou d’une autre défaillance de validation.

Fonds suivis, reprise inconnue

D’après des informations attribuées à Specter Investigation, l’attaquant avait obtenu ses fonds de départ via Railgun, un protocole de confidentialité. Les USDC dérobés auraient ensuite été échangés contre de l’ETH, puis répartis entre trois adresses.1015 Un autre compte rendu chiffre la conversion à environ 683 ETH. Le passage des fonds de départ par Railgun ne prouve ni que ce protocole a été exploité, ni que son utilisation empêchera la récupération des avoirs.

Payy a indiqué coopérer avec les autorités et des équipes de réponse aux incidents.37 Une éventuelle mise à niveau préventive du réseau est évoquée dans certains comptes rendus, sans qu’un plan arrêté soit établi ici.5 Au 25 septembre, aucune date de reprise ni ventilation des pertes subies par les clients n’avait été communiquée ; aucun engagement d’indemnisation ne peut être confirmé à partir des informations disponibles.17

Des articles évoquent aussi une vulnérabilité antérieure corrigée en juin 2026.6 En revanche, les éléments réunis ici ne permettent pas de confirmer les détails avancés sur des messages de retrait (« burn ») falsifiés, la version 1.3.0 du correctif, ni un lien technique entre cette faille et l’attaque de septembre. La cause définitive de l’incident et les perspectives de récupération des fonds restent ouvertes.