Payy og Duelbits hacket samme dag for 1,8 millioner dollars og 4,3 millioner dollars

To uafhængige kryptoplatforme blev drænet inden for få timer efter hinanden den 24. september, og tilsammen giver de et godt øjebliksbillede af, hvor branchens sikkerhedsproblemer rent faktisk befinder sig lige nu.

Payy: hele saldoen, væk

Payy Network, en privatlivsfokuseret stablecoin-betalingsprotokol, bekræftede, at dens Ethereum-rollup-kontrakt var blevet hacket. Ikke delvist skimmet – hele saldoen blev taget. Efterforskere hos Specter markerede først, at omkring 1,8 millioner dollars i USDC forlod protokollen; Payys egen bekræftelse satte tallet tættere på 1,83 millioner dollars, da ETH-konverteringen var optalt.

Angriberen finansierede gassen til operationen gennem Railgun, privatlivsmixeren, før han drænede rollup'en. Den stjålne USDC blev byttet til omkring 683 ETH og fordelt på tre adresser, det standardmæssige første træk før hvidvaskning. Payy har siden suspenderet indbetalinger, hævninger, overførsler og korttransaktioner på tværs af netværket og siger, at de har underrettet politiet og inddraget eksterne firmaer, der håndterer hændelsesproblemer.

Det, der skiller sig ud, er ikke udnyttelsens sofistikerede karakter. Tidlig klassificering peger på en adgangskontrolfejl på broen og rollup-grænsefladen, ikke et nyt kryptografisk trick. Bare en tilladelse, der ikke burde have været åben.

Duelbits: en tilbagevendende kunde

Kryptocasinoet Duelbits gik offline samme dag, efter at PeckShield rapporterede mistænkelige udstrømninger på omkring 4,3 millioner dollars på tværs af Ethereum og BNB Chain: 836 ETH (~2,23 millioner dollars), 1,146 millioner USDT, 209 BNB (~160,7K dollars), 96.805 USDC, 12,4 milliarder SHIB (~70,2K dollars) og 31.515 DAI. Angriberen dirigerede beløbet gennem deBridge og Relays Router V3 og konsoliderede derefter det meste af det til omkring 1.588 ETH, mens DAI stort set ikke blev påvirket.

Duelbits har ikke afsløret, hvordan adgangen blev opnået, og det er stadig uklart, om spillernes saldi blev påvirket – kun at hot wallets blev ramt. Scam Sniffers optælling kom en smule lavere, omkring 4,2 millioner dollars, men firmaet markerede, at Tron-wallets også blev drænet; senere aktivitet på kæden, der involverede Bitcoin og Solana, skubbede nogle estimater op mod 5,9 millioner dollars, før tingene stabiliserede sig. Den fungerende teori er en lækket privat nøgle, ikke en kontraktfejl.

Det er ikke første gang, Duelbits er her. Casinoet tabte 4,64 millioner dollars i februar 2024 i en hændelse, der blev tilskrevet CertiK på grund af en kompromitteret privat nøgle, hvor angriberen udnyttede en dobbelttællingsfejl i en token-kontrakts balancelogik. To store hacks, cirka 18 måneder fra hinanden, der begge kan spores tilbage til nøgle- eller adgangsfejl snarere end en eller anden eksotisk ny angrebsvektor. Alene det mønster siger noget om, hvor meget arbejde hot-wallet-operatører stadig har foran sig.

Det større billede

Zoom ud, og timingen stemmer overens med en tendens, som sikkerhedsfirmaer har vist hele året. Immunefi talte 207 hackerhændelser i første halvdel af 2026, en rekord, med et tab på omkring 972 millioner dollars. CertiKs optælling for samme periode landede tættere på 1,32 milliarder dollars. Forskellen mellem disse to tal betyder mindre end, hvad begge virksomheder er enige om: angribere er stort set rykket op i stakken. Smart-contract-fejl er sværere at finde nu takket være løbende revisioner og bug bounty-programmer, så pengene har fulgt den mindste modstands vej ind i infrastruktur, lækkede nøgler, forkert konfigurerede broer og privilegeret adgang, der aldrig blev låst ordentligt ned.

Payy og Duelbits, der blev ramt med timers mellemrum af to forskellige metoder, havner begge lige i den kategori. Ingen af virksomhederne har endnu offentliggjort en fuldstændig obduktion, og tallene for begge hændelser kan stadig ændre sig, efterhånden som efterforskerne fortsætter med at spore midlerne.