Payy e Duelbits são hackeadas no mesmo dia, com prejuízos de US$ 1,8 milhão e US$ 4,3 milhões, respectivamente.

Duas plataformas de criptomoedas sem qualquer relação entre si foram submetidas a ataques com poucas horas de diferença em 24 de setembro, e juntas representam um bom panorama da situação atual dos problemas de segurança do setor.

Payy: todo o saldo, perdido.

A Payy Network, um protocolo de pagamentos em stablecoins focado em privacidade, confirmou que seu contrato de rollup em Ethereum foi hackeado. Não se tratava de um desvio parcial — todo o saldo foi roubado. Investigadores da Specter inicialmente identificaram a saída de aproximadamente US$ 1,8 milhão em USDC do protocolo; a própria confirmação da Payy elevou o valor para cerca de US$ 1,83 milhão após a conversão para ETH.

O atacante financiou o gás da operação através do Railgun, o misturador de privacidade, antes de drenar o fundo de rollup. Os USDC roubados foram trocados por cerca de 683 ETH e divididos entre três endereços, o primeiro passo padrão antes da lavagem de dinheiro. Desde então, a Payy suspendeu depósitos, saques, transferências e transações com cartão em toda a rede e afirma ter notificado as autoridades policiais e contratado empresas externas de resposta a incidentes.

O que chama a atenção não é a sofisticação da exploração. A classificação inicial aponta para uma falha no controle de acesso na ponte e na interface de rollup, não para um novo truque criptográfico. Apenas uma permissão que não deveria estar aberta.

Duelbits: um cliente recorrente

O cassino de criptomoedas Duelbits saiu do ar no mesmo dia em que a PeckShield sinalizou cerca de US$ 4,3 milhões em saídas suspeitas nas redes Ethereum e BNB Chain: 836 ETH (aproximadamente US$ 2,23 milhões), 1,146 milhão de USDT, 209 BNB (aproximadamente US$ 160,7 mil), 96.805 USDC, 12,4 bilhões de SHIB (aproximadamente US$ 70,2 mil) e 31.515 DAI. O atacante roteou o montante através do deBridge e do Router V3 da Relay, consolidando a maior parte em cerca de 1.588 ETH, enquanto deixou o DAI praticamente intacto.

A Duelbits não divulgou como obteve acesso e ainda não está claro se os saldos dos jogadores foram afetados — apenas que as carteiras online foram atingidas. O cálculo da Scam Sniffer foi um pouco menor, em torno de US$ 4,2 milhões, mas a empresa alertou que as carteiras Tron também foram esvaziadas; atividades posteriores na blockchain envolvendo Bitcoin e Solana elevaram algumas estimativas para US$ 5,9 milhões antes que a situação se estabilizasse. A teoria mais aceita é que houve um vazamento de chave privada, e não uma falha no contrato.

Esta não é a primeira vez que a Duelbits passa por isso. O cassino perdeu US$ 4,64 milhões em fevereiro de 2024 em um incidente que a CertiK atribuiu a uma chave privada comprometida, com o invasor explorando uma falha de dupla contagem na lógica de saldo de um contrato de token. Dois grandes ataques, com cerca de 18 meses de intervalo, ambos originados de falhas de chave ou de acesso, e não de algum novo vetor de ataque exótico. Esse padrão por si só já demonstra o quanto os operadores de carteiras online ainda têm pela frente.

O panorama geral

Ao ampliar a perspectiva, o cronograma coincide com uma tendência que as empresas de segurança vêm sinalizando ao longo do ano. A Immunefi contabilizou 207 incidentes de hacking no primeiro semestre de 2026, um recorde, com prejuízos estimados em cerca de US$ 972 milhões. O levantamento da CertiK para o mesmo período apontou para um prejuízo próximo a US$ 1,32 bilhão. A diferença entre esses dois números importa menos do que o ponto em que ambas as empresas concordam: os atacantes migraram, em grande parte, para camadas mais altas da infraestrutura. As falhas em contratos inteligentes são mais difíceis de encontrar agora, graças a auditorias contínuas e programas de recompensa por bugs, então o dinheiro seguiu o caminho de menor resistência para a infraestrutura, chaves vazadas, pontes mal configuradas e acessos privilegiados que nunca foram devidamente protegidos.

A Payy e a Duelbits, atingidas com poucas horas de diferença por dois métodos distintos, enquadram-se perfeitamente nessa categoria. Nenhuma das empresas publicou ainda um relatório completo sobre os incidentes, e os valores relativos a ambos podem continuar a mudar à medida que os investigadores seguem rastreando os fundos.