Payy y Duelbits fueron hackeadas el mismo día, perdiendo 1,8 millones de dólares y 4,3 millones de dólares respectivamente.

Dos plataformas de criptomonedas sin relación entre sí sufrieron colapsos con pocas horas de diferencia el 24 de septiembre, y juntas ofrecen una buena muestra de la situación actual de los problemas de seguridad del sector.

Payy: todo el saldo, desaparecido.

Payy Network, un protocolo de pagos con stablecoins centrado en la privacidad, confirmó que su contrato de agregación de Ethereum había sido hackeado. No se trató de un robo parcial, sino del robo del saldo completo. Los investigadores de Specter inicialmente detectaron una fuga de aproximadamente 1,8 millones de dólares en USDC del protocolo; la propia confirmación de Payy situó la cifra en torno a los 1,83 millones de dólares una vez contabilizada la conversión a ETH.

El atacante financió la operación mediante Railgun, el mezclador de privacidad, antes de vaciar el rollup. Los USDC robados se intercambiaron por aproximadamente 683 ETH y se dividieron entre tres direcciones, el primer paso habitual antes del blanqueo de capitales. Desde entonces, Payy ha suspendido los depósitos, retiros, transferencias y transacciones con tarjeta en toda la red, y afirma haber notificado a las autoridades y contratado a empresas externas de respuesta a incidentes.

Lo que llama la atención no es la sofisticación del exploit. Las primeras clasificaciones apuntan a un fallo en el control de acceso en la interfaz de puente y rollup, no a un truco criptográfico novedoso. Simplemente, un permiso que no debería haber estado abierto.

Duelbits: un cliente habitual

El criptocasino Duelbits dejó de funcionar el mismo día después de que PeckShield detectara salidas sospechosas de aproximadamente 4,3 millones de dólares en Ethereum y BNB Chain: 836 ETH (~2,23 millones de dólares), 1,146 millones de USDT, 209 BNB (~160.700 dólares), 96.805 USDC, 12.400 millones de SHIB (~70.200 dólares) y 31.515 DAI. El atacante canalizó el dinero a través de deBridge y el Router V3 de Relay, y luego consolidó la mayor parte en aproximadamente 1.588 ETH, dejando el DAI prácticamente intacto.

Duelbits no ha revelado cómo se obtuvo el acceso, y aún no está claro si los saldos de los jugadores se vieron afectados; solo se sabe que las billeteras activas sufrieron pérdidas. El recuento de Scam Sniffer fue ligeramente inferior, alrededor de 4,2 millones de dólares, pero la empresa señaló que las billeteras de Tron también se vieron afectadas. Posteriormente, la actividad en la cadena de bloques que involucró a Bitcoin y Solana elevó algunas estimaciones hacia los 5,9 millones de dólares antes de que la situación se estabilizara. La teoría principal apunta a una clave privada filtrada, no a un fallo en el contrato.

Esta no es la primera vez que Duelbits se enfrenta a una situación similar. El casino perdió 4,64 millones de dólares en febrero de 2024 en un incidente que CertiK atribuyó a una clave privada comprometida, en el que el atacante explotó una vulnerabilidad de doble conteo en la lógica de saldo de un contrato de tokens. Dos importantes ataques informáticos, con aproximadamente 18 meses de diferencia, ambos relacionados con fallos de clave o acceso, en lugar de algún vector de ataque nuevo y exótico. Este patrón por sí solo evidencia la gran cantidad de trabajo que aún tienen por delante los operadores de monederos digitales.

El panorama general

Si ampliamos la perspectiva, el momento coincide con una tendencia que las empresas de seguridad han estado señalando durante todo el año. Immunefi registró 207 incidentes de piratería informática en la primera mitad de 2026, una cifra récord, con pérdidas aproximadas de 972 millones de dólares. El recuento de CertiK para el mismo período se acercó a los 1320 millones de dólares. La diferencia entre estas dos cifras es menos importante que el punto en el que ambas empresas coinciden: los atacantes han ascendido en la jerarquía de seguridad. Ahora es más difícil encontrar vulnerabilidades en los contratos inteligentes, gracias a las auditorías continuas y los programas de recompensas por errores, por lo que el dinero ha seguido el camino de menor resistencia hacia la infraestructura, las claves filtradas, los puentes mal configurados y el acceso privilegiado que nunca se protegió adecuadamente.

Payy y Duelbits, afectadas con pocas horas de diferencia mediante dos métodos distintos, encajan perfectamente en esa categoría. Ninguna de las dos compañías ha publicado aún un análisis exhaustivo posterior a los hechos, y las cifras de ambos incidentes podrían variar a medida que los investigadores sigan rastreando los fondos.