Payy ha congelado todas las operaciones de su red de pagos con stablecoins después de informar de que su puente con Ethereum fue explotado y vaciado el 24 de septiembre. La suspensión afecta a depósitos, retiradas, transferencias y pagos con tarjeta, por lo que los usuarios no pueden mover ni gastar fondos a través del servicio mientras continúa la investigación.
La compañía situó el incidente a las 4:21 horas UTC. En ese momento, una transacción registrada en Ethereum, en el bloque 26044909 y con marca temporal de las 4:21:23, retiró 1.832.149,4681 USDC de un contrato asociado al rollup de Payy. El movimiento equivale aproximadamente a 1,83 millones de dólares en USDC.
Una pausa que también alcanza a las tarjetas
Payy comunicó que todas las transacciones de Payy Network quedaban detenidas durante el análisis del ataque. La medida no se limita a las funciones habituales de una red de stablecoins: también impide realizar compras con las tarjetas vinculadas al servicio.
En la práctica, los usuarios no pueden ingresar fondos, retirarlos, enviar transferencias ni completar pagos con tarjeta a través de Payy. La empresa no ha informado de cuántos clientes tenían saldos activos ni de cuántos intentos de pago se produjeron durante la interrupción, por lo que el alcance operativo entre los usuarios todavía no está cuantificado.
La compañía aseguró que está siguiendo sus protocolos de respuesta a incidentes y que ofrecerá nuevas actualizaciones. Su primer comunicado, sin embargo, no incluyó un plazo para restablecer las operaciones ni una fecha estimada para recuperar cada una de las funciones afectadas.
El importe sustraído no equivale aún a las pérdidas de los clientes
El dato visible en la cadena corresponde a la salida de fondos de un contrato concreto. Payy describió el puente como vaciado de todo su saldo, pero no detalló cuál era ese saldo ni precisó cuánto dinero podría corresponder a los clientes. Tampoco identificó la causa técnica del ataque.
La empresa no facilitó en su anuncio una cifra total de USDC sustraídos, una estimación de las pérdidas de los usuarios ni el identificador de la transacción. Por eso, los 1.832.149,4681 USDC observados en Ethereum sirven para medir el flujo registrado en ese contrato, pero no permiten establecer por sí solos la pérdida financiera definitiva del incidente.
La contabilidad final del puente y la revisión de los saldos afectados tendrán que determinar si existe una diferencia entre el importe retirado del contrato y la exposición real de los clientes. De momento, la única consecuencia confirmada para los usuarios es el bloqueo del servicio. La magnitud de las pérdidas y la seguridad de los saldos siguen sin estar aclaradas.
Sin calendario para reanudar el servicio
La interrupción deja pendientes dos cuestiones principales: cuándo volverán a funcionar los depósitos, las retiradas, las transferencias y las tarjetas, y si el incidente tendrá un impacto directo sobre los balances de los usuarios. Payy no ha ofrecido respuesta pública a ninguna de ellas en su comunicación inicial.
Hasta que concluya la investigación, la red permanece detenida y las operaciones de pago siguen suspendidas. La compañía ha prometido informar de la evolución del incidente, pero todavía no ha publicado ni el alcance técnico completo del ataque ni una cifra definitiva sobre los fondos comprometidos.
