Зламано Payy та Duelbits того ж дня за 1,8 та 4,3 мільйона доларів

Дві не пов'язані між собою криптоплатформи були виснажені протягом кількох годин один від одного 24 вересня, і разом вони є непоганим прикладом того, де насправді знаходяться проблеми безпеки в галузі на даний момент.

Payy: весь баланс зник

Payy Network, протокол платежів за стейблкоїнами, орієнтований на конфіденційність, підтвердив, що його контракт на збір коштів Ethereum був зламаний. Не частково знято кошти — викрадено весь баланс. Слідчі Specter спочатку повідомили про вихід з протоколу приблизно 1,8 мільйона доларів у USDC; власне підтвердження Payy наблизило цю цифру до 1,83 мільйона доларів після підрахунку конвертації ETH.

Зловмисник профінансував операцію через Railgun, міксер конфіденційності, а потім злив накопичений кошт. Вкрадені USDC були обміняні приблизно на 683 ETH та розділені на три адреси, що є стандартним першим кроком перед відмиванням. Відтоді Payy призупинила депозити, зняття коштів, перекази та карткові транзакції в мережі та стверджує, що повідомила правоохоронні органи та залучила зовнішні фірми з реагування на інциденти.

Впадає в око не складність експлойту. Попередня класифікація вказує на збій контролю доступу на інтерфейсі мосту та зведення, а не на новий криптографічний трюк. Просто дозвіл, який не мав бути відкритим.

Дуельбіти: постійний клієнт

Крипто-казино Duelbits вийшло з ладу того ж дня після того, як PeckShield повідомив про підозрілий відтік приблизно 4,3 мільйона доларів через Ethereum та BNB Chain: 836 ETH (~2,23 млн доларів США), 1,146 мільйона USDT, 209 BNB (~160,7 тис. доларів США), 96 805 USDC, 12,4 мільярда SHIB (~70,2 тис. доларів США) та 31 515 DAI. Зловмисник провів вилучення коштів через deBridge та Relay's Router V3, а потім консолідував більшу частину приблизно в 1588 ETH, залишивши DAI практично недоторканим.

__КОРОТКИЙ_ТОКЕН_0__

Duelbits не розкрила, як було отримано доступ, і досі незрозуміло, чи постраждали баланси гравців — лише те, що постраждали «гарячі» гаманці. Підсумок Scam Sniffer виявився трохи меншим, близько 4,2 мільйона доларів, але компанія повідомила, що гаманці Tron також були вичерпані; пізніша активність у блокчейні, пов'язана з Bitcoin та Solana, підвищила деякі оцінки до 5,9 мільйона доларів, перш ніж ситуація врегулювалася. Робоча теорія полягає в витоку приватного ключа, а не в багу контракту.

Це не перший випадок, коли Duelbits тут. Казино втратило 4,64 мільйона доларів у лютому 2024 року в інциденті, який CertiK пов'язав зі скомпрометованим закритим ключем, коли зловмисник використав недолік подвійного підрахунку в логіці балансу токен-контракту. Два великі зломи, що відбулися приблизно з різницею в 18 місяців, пов'язані з помилками ключів або доступу, а не з якимось екзотичним новим вектором атаки. Сама ця закономірність говорить про те, скільки роботи ще належить виконати операторам гарячих гаманців.

Ширша картина

Якщо віддалити масштаб, то час збігається з тенденцією, яку фірми з безпеки відзначали протягом усього року. Immunefi нарахувала 207 інцидентів зломів у першій половині 2026 року, що є рекордом, загалом втрати склали приблизно 972 мільйони доларів. Підсумок CertiK за той самий період наблизився до 1,32 мільярда доларів. Різниця між цими двома цифрами має менше значення, ніж те, з чим погоджуються обидві фірми: зловмисники значною мірою просунулися вгору по стеку. Помилки смарт-контрактів зараз важче знайти завдяки постійним аудитам та програмам винагороди за виявлені помилки, тому гроші йшли шляхом найменшого опору в інфраструктуру, під час витоків ключів, неправильно налаштованих мостів та привілейованого доступу, який ніколи належним чином не блокувався.

Payy та Duelbits, яких застрелили з різницею в кілька годин двома різними способами, потрапили в одну кориту. Жодна з компаній ще не опублікувала повного розтину, і цифри щодо обох інцидентів можуть змінитися, оскільки слідчі продовжують відстежувати кошти.