Payy stoppade betalningar efter att Ethereum-kontrakt tömts på USDC

Payy Network, en betalplattform för stablecoins med fokus på integritet, bekräftade den 24 september 2026 att dess kontrakt på Ethereum hade angripits och tömts. Plattformen stoppade sina betalningstjänster medan händelsen utreddes.37

En transaktion – men flera belopp

Enligt rapporteringen skedde uttaget i en transaktion klockan 04.21 UTC, i Ethereum-block 26 044 909. Den ska ha anropat verifyRollup, funktionen som används för att bekräfta grupper av aktiviteter utanför Ethereum direkt på blockkedjan.131417

TokenPost anger att 1 832 149,4681 USDC lämnade kontraktet och att 1 828 589,3781 USDC gick till en adress.17 Det senare beloppet är alltså inte samma sak som hela uttaget. Rapporter beskriver vanligen förlusten som omkring 1,83 miljoner dollar, medan andra anger omkring 1,92 miljoner dollar. Underlaget förklarar inte fullt ut skillnaden, och uppgiften att 1 828 589 USDC motsvarade cirka 95 procent av kontraktets saldo är inte verifierad här.41317

Att transaktionen använde verifyRollup visar var angreppet passerade, inte säkert varför kontrollen brast. En säkerhetsrelaterad publicering uppger att Payys egna nycklar användes för att skicka och signera den aktuella gruppen transaktioner, men det fastställer inte om nycklar komprometterats eller om felet låg någon annanstans.16

Vad hände med pengarna?

Enligt rapporter som hänvisar till blockkedjeutredaren Specter Investigation fick angriparen sina inledande medel via integritetsprotokollet Railgun. De stulna USDC ska därefter ha växlats till ETH och spritts över tre adresser; annan rapportering uppskattar växlingen till omkring 683 ETH.1315 Uppgiften om angriparens startkapital bevisar inte i sig att de stulna pengarna senare passerade Railgun eller att protokollet angreps. Det är inte heller klarlagt om användningen av Railgun försvårar ett återtagande.1415

Tjänsterna stoppade – tidigare brist ger inget svar

Payy pausade insättningar, uttag, överföringar och kortbetalningar och uppgav att bolaget kontaktat rättsvårdande myndigheter och arbetade med incidenthanterare.37 En rapport nämner att en förebyggande nätverksuppgradering övervägs, men inget beslut om en sådan åtgärd är bekräftat i underlaget.5 Någon tidsplan för att öppna tjänsterna igen eller uppdelning av eventuella kundförluster hade inte offentliggjorts i rapporteringen den 25 september. Inte heller finns här något verifierat löfte om ersättning.17

Payy hade enligt tidigare rapportering åtgärdat ett separat säkerhetsproblem i juni 2026 innan det orsakade förluster.6 Uppgifterna här räcker däremot inte för att bekräfta att problemet gällde en zero-knowledge-krets som kunde godkänna falska burn-meddelanden, att rättningen skedde i version 1.3.0 eller att septemberangreppet hade samma grundorsak. Den tekniska orsaken och möjligheterna att få tillbaka tillgångarna återstår att klarlägga.