Payy stanset betalingene etter angrep mot Ethereum-kontrakt

For Payy-brukere er den umiddelbare følgen klarere enn årsaken til angrepet: Betalingsnettverket stanset innskudd, uttak, overføringer og kortbetalinger mens hendelsen undersøkes. Payy, som tilbyr personvernrettede betalinger med stablecoins, bekreftet 24. september 2026 at en av kontraktene deres på Ethereum var angrepet og tømt.717

Én transaksjon – flere tall

Ifølge TokenPost forlot 1 832 149,4681 USDC Payys brokontrakt i én transaksjon kl. 04.21 UTC, i Ethereum-blokk 26 044 909. Av dette gikk 1 828 589,3781 USDC til én adresse; mindre overføringer utgjorde resten.17 Det sistnevnte tallet er altså ikke det samme som totalbeløpet som forlot kontrakten. Opplysningen om at det tilsvarte rundt 95 prosent av kontraktens USDC-beholdning, kan ikke bekreftes ut fra disse tallene alene.

De fleste omtalene anslår tapet til rundt 1,83 millioner dollar, mens en annen rapport oppgir omtrent 1,92 millioner dollar.413 Anslagene er ikke avstemt i det tilgjengelige materialet og bør ikke leses som ett endelig, revidert tapsbeløp.

Hva vet vi om angrepsmåten?

Rapportering peker på en ondsinnet transaksjon via funksjonen verifyRollup. Den brukes til å bekrefte samlede oppdateringer fra aktivitet utenfor Ethereum-kjeden på selve Ethereum.13 En sikkerhetsrelatert post hevder at oppdateringen ble sendt med Payys egen bevisnøkkel og signert med selskapets validatornøkkel.16 Det er likevel ikke nok til å slå fast om årsaken var kompromitterte nøkler, en feil i verifiseringen eller noe annet.

Ifølge omtale av sporingen til Specter Investigation fikk angriperen innledende midler via personvernprotokollen Railgun. Rapportene beskriver også at stjålne USDC senere ble vekslet til ETH og fordelt på tre adresser.1015 En annen omtale anslår vekslingen til omtrent 683 ETH.13 At Railgun ble brukt til innledende finansiering, beviser verken at protokollen ble utnyttet, eller at de stjålne midlene senere gikk gjennom den.

Hva skjer videre?

Payy har varslet politiet og samarbeider med team for hendelseshåndtering.7 En mulig nettverksoppgradering er omtalt, men ingen konkret forebyggende løsning er bekreftet.5 Per rapporteringen 25. september var det heller ikke oppgitt noen dato for gjenåpning eller en oversikt over kundetap.17 Det foreligger ingen bekreftet forpliktelse til å erstatte brukerne.

Payy hadde også et tidligere sikkerhetsproblem som ifølge en omtale ble rettet i juni 2026.6 Det tilgjengelige kildegrunnlaget er ikke tilstrekkelig til å bekrefte detaljene om forfalskede burn-meldinger og versjon 1.3.0, eller til å knytte juni-feilen til angrepet i september. Angriperens identitet, den endelige tekniske årsaken og muligheten for å få midlene tilbake er fortsatt åpne spørsmål.