De Ethereum-brug van Payy Network is op vrijdag 24 september 2026 omstreeks 04:21 UTC gecompromitteerd, wat leidde tot een exploitatie van het bridge-contract aan de Ethereum-zijde.

De geëxploiteerde activa betroffen niet-bewaarde deposito's van gebruikers. Deze fondsen waren door gebruikers ingelegd via het bridge-mechanisme om toegang te krijgen tot diensten binnen het Payy Network en werden niet aangehouden in een traditioneel, door het bedrijf beheerd bewaaraccount.

Als direct gevolg van de exploitatie is alle significante transactieactiviteit op het Payy Network, inclusief stortingen, opnames, transfers en kaarttransacties, stopgezet. De functionaliteit van de Payy Wallet is tevens tijdelijk gepauzeerd.

Onderzoeksteams zijn momenteel bezig met een grondige analyse van de aanval en volgen de vastgestelde procedures voor incidentrespons.

De specifieke aard van de kwetsbaarheid die de exploit mogelijk maakte, het precieze gestolen bedrag en de adressen van de aanvallers zijn op dit moment nog niet openbaar gemaakt. Het is eveneens nog onduidelijk of de kwetsbaarheid zich voordeed in de smart-contractlogica, via autorisatieomzeiling, door een gecompromitteerde bevoorrechte sleutel of een andere soort zwakte.

Payy heeft wetshandhavingsinstanties, cryptocurrency-beurzen, blockchain-analysebedrijven en andere relevante organisaties geïnformeerd over de adressen die aan de aanvallers worden toegeschreven. Deze melding dient ter ondersteuning van het traceren van de gestolen activa, het identificeren van potentiële verzilveringspogingen en het voorkomen van fondstransacties door de aanvallers via gecentraliseerde beurzen of andere identificeerbare diensten.