Payy подтвердила взлом своего моста в Ethereum 24 сентября в 04:21 UTC. Из контракта вывели весь находившийся там баланс, после чего компания остановила депозиты, выводы, переводы и карточные платежи во всей сети. Позже она отдельно отключила функции Payy Wallet и пообещала сообщить пользователям дальнейшие шаги.

Транзакция в Ethereum перевела из мостового контракта 1 832 149,4681 USDC. На крупнейший адрес-получатель ушло 1 828 589,3781 USDC, ещё две небольшие суммы — на отдельные адреса. Вызов функции `verifyRollup` и успешный перевод видны в блокчейне, но сами по себе не объясняют, как злоумышленник получил возможность провести операцию.

Payy — платёжная сеть с доказательствами с нулевым разглашением поверх Ethereum и некастодиальным кошельком. При пополнении USDC превращаются в PUSD, используемый внутри сервиса. Контроль пользователем ключей от кошелька не означает контроля над мостом: остановить операции и определить порядок восстановления сейчас может команда Payy.

На 25 сентября механизм атаки, затронуты ли непосредственно средства пользователей, условия компенсации и срок перезапуска не раскрыты. Исследователь Specter сообщил о переводе средств через Railgun и последующем обмене на ETH; The Crypto Times независимо подтвердил исходный перевод USDC, но не всю дальнейшую цепочку.