Vụ tấn công Payy Network ngày 24/9: Tiền bị rút qua `verifyRollup`, dịch vụ thanh toán tạm dừng

Với người dùng Payy, tác động trước mắt không chỉ là khoản USDC bị rút khỏi hợp đồng trên Ethereum: các chức năng thanh toán của mạng lưới cũng bị tạm dừng trong lúc điều tra. Payy, một nền tảng thanh toán bằng stablecoin chú trọng quyền riêng tư, xác nhận hợp đồng của mình bị tấn công ngày 24/9/2026 và cho biết đã thông báo cho cơ quan thực thi pháp luật, đồng thời làm việc với các nhóm ứng phó sự cố.37

Một giao dịch đã rút bao nhiêu tiền?

TokenPost ghi nhận 1.832.149,4681 USDC rời hợp đồng trong một giao dịch tại khối Ethereum 26.044.909, lúc 04:21:23 UTC ngày 24/9. Trong đó, 1.828.589,3781 USDC được chuyển tới một địa chỉ; các khoản chuyển nhỏ hơn tạo nên phần chênh lệch. Vì vậy, không nên nhầm con số 1.828.589 USDC với tổng số tiền rời hợp đồng, hoặc coi nhận định “khoảng 95% số dư” là tỷ lệ đã được xác minh từ những dữ liệu này.17

Các bản tin thường làm tròn thiệt hại ở mức khoảng 1,83 triệu USD, nhưng cũng có nguồn nêu khoảng 1,92 triệu USD. Đây là những ước tính được đưa tin khác nhau, chưa phải các tổng thiệt hại đã được đối chiếu thống nhất.41317

verifyRollup liên quan thế nào?

Theo các bản tin, giao dịch bất thường gọi hàm verifyRollup của hợp đồng Payy. Trong hệ thống rollup, hàm này được dùng để xác nhận trên Ethereum các lô hoạt động xử lý ngoài chuỗi. Việc giao dịch đi qua hàm đó cho biết đường thực hiện vụ rút tiền, nhưng chưa đủ để kết luận lỗi nằm ở mạch chứng minh zero-knowledge, khóa bị lộ hay một khâu xác thực khác.1314 Một bài đăng về bảo mật nói lô giao dịch sử dụng khóa prover và chữ ký validator của Payy; đó vẫn là nhận định cần được kiểm chứng trong cuộc điều tra nguyên nhân.16

Tiền đã đi đâu, người dùng còn chờ điều gì?

Thông tin dẫn lại hoạt động theo dõi của Specter Investigation cho biết kẻ tấn công đã nhận nguồn tiền ban đầu qua Railgun, sau đó đổi USDC bị lấy thành ETH và phân tán tài sản tới ba địa chỉ.15 Một bản tin khác ước tính số ETH sau chuyển đổi vào khoảng 683 ETH.13 Nguồn tiền ban đầu đi qua Railgun không đồng nghĩa Railgun bị khai thác, cũng không tự chứng minh toàn bộ tiền bị đánh cắp đã đi qua giao thức này. Hiện chưa rõ việc sử dụng Railgun có gây trở ngại đáng kể cho thu hồi tài sản hay không.15

Payy đã tạm dừng nạp, rút, chuyển tiền và thanh toán bằng thẻ.34 Tính đến bản tin ngày 25/9, chưa có thời điểm mở lại dịch vụ hoặc số liệu công bố riêng về tổn thất của khách hàng.17 Những nguồn hiện có cũng chưa xác nhận cam kết bồi hoàn hay một kế hoạch nâng cấp phòng ngừa đã được Payy chốt.

Một vấn đề bảo mật của Payy hồi tháng 6/2026 được đưa tin là đã vá, nhưng thông tin hiện có không đủ để xác nhận chi tiết về phiên bản 1.3.0 hoặc chứng minh lỗ hổng cũ — được mô tả là có thể cho phép giả mạo thông điệp rút tài sản — liên quan trực tiếp đến vụ tấn công tháng 9.6 Câu hỏi quan trọng nhất vẫn là lô giao dịch đã vượt qua các bước kiểm tra bằng cách nào và liệu tài sản của người dùng có thể được thu hồi hoặc bồi hoàn.