Компенсации Payy: после взлома на $1,92 млн открыли клеймы и сначала просили сид-фразу

Компенсации Payy снова в центре внимания: 13 октября проект открыл процесс клеймов после сентябрьского взлома моста примерно на $1,92 млн USDC и сначала прямо попросил сид-фразу Payy Wallet. Позже в официальном X объявили, что обновляют процесс и добавят проверку баланса прямо в приложении. Разбираем, что произошло, почему сид-фраза вообще всплыла и как не попасть на поддельный «клейм».

Что случилось с мостом

Payy — privacy-платежный роллап на Ethereum: балансы в нотах, наружу уходит только криптодоказательство. 24 сентября около 04:21 UTC из бриджа ушло около 1,82 млн USDC одним выводом, плюс ещё два меньших сжигания — суммарно около 1 918 793 USDC. Часть средств быстро конвертировали примерно в 683 ETH. Сеть поставили на паузу: депозиты, переводы и карточные платежи остановили.

По постмортему Payy и разбору Certora, речь не про украденный админ-ключ, а про то, что verifier принял невалидное burn-доказательство. В Barretenberg не форсировали нулевой старт «бегущей суммы»; Aztec закоммитил фикс 14 мая и выпустил его в v5.0.0 13 июля. Payy же держал сборку от октября 2025-го. Цифры и даты — из этих материалов, не из слухов.

Компенсации Payy: почему в клейме всплыла сид-фраза

13 октября Payy объявил окно компенсаций: легитимные клеймы обещают платить USDC на Ethereum, Payy Wallet после окна должны полностью отключить. В треде у @payy_link прямо написали: форма требует сид-фразу Payy Wallet, потому что из‑за privacy-архитектуры без неё нельзя понять, сколько USDC было у пользователя. TokenPost пересказывает ту же логику: фраза нужна для сверки баланса, плюс просят identity, чтобы резать фейковые заявки.

Позже в тот же день проект извинился за путаницу, удалил часть старых постов со ссылками и сообщил, что обновляет процесс и добавит альтернативную проверку средств в приложении. То есть требование сид-фразы было официальным шагом, а не «слухом из чата», но финальная форма на момент написания ещё плывёт.

«The claims form requires entering your Payy Wallet seed phrase… without it we cannot identify the amount you had in your wallet due to the privacy architecture of Payy.» — @payy_link, 12 октября 2026.

Риски формы и как проверять канал

Даже если проект искренне не может увидеть баланс иначе, ввод сид-фразы в веб-форму — это ровно тот жест, которому учат не доверять. Фишеры копируют такие скрипты слово в слово: «официальный клейм», дедлайн 30 дней, «фраза уже ничего не стоит». CoinAligator отдельно подчёркивает этот слой: для жертвы момент компенсации — самый удобный момент для подмены ссылки.

Практический минимум, без паники и без обвинений в адрес команды:

1. Только официальный канал. Сверяй URL и треды с payy.network и верифицированным @payy_link. Не переходи по «клейму» из лички, реплая или чужого зеркала.
2. Не смешивай сид-фразы. Фраза Payy Wallet — не seed твоего MetaMask, Ledger или биржевого аккаунта. Если форма просит «любую» фразу или seed другого кошелька — это красный флаг.
3. Дождись стабильной инструкции. Проект сам написал, что процесс обновляют и «лучше сделают soon». Имеет смысл не торопиться с вводом сида, пока не появится ясная актуальная форма и альтернатива в приложении.
4. Думай про downstream-риск. Даже «пустая» фраза после дренажа бриджа — это аутентификатор твоего клейма. Утечка формы или подмена домена = чужой человек клеймит твой баланс.

Похожие ловушки мы уже разбирали на примере фишинга COLDCARD с просьбой мигрировать seed: сценарий «официально просят сид» сам по себе не доказательство легитимности ссылки.

Что это значит для тебя

Если ты не пользовался Payy — новость всё равно полезна как чеклист. Privacy-кошелёк, который «не видит баланс», в момент компенсации упирается в парадокс: либо доверяешь off-chain сверке с сидом, либо ждёшь другой механизм. Если пользовался — смотри только официальные апдейты, сохраняй скрины балансов/транзакций до инцидента и не вводи seed на сомнительных доменах. Для самокастоди в целом полезны привычки из гайда по холодному кошельку: отдельные сиды, отдельные устройства, ноль привычки «вставить фразу в форму».

Ещё один практический момент: если ты уже заполнил старую форму по ссылке из удалённого треда, сверь, что это был именно домен/процесс, который проект подтверждал в тот момент, и следи за апдейтом про «better process». Не пересылай сид третьим лицам «для проверки клейма» — ни модераторам чатов, ни «саппорту» в личке. Компенсации Payy имеют смысл только через канал, который ты сам открыл с официальной страницы или верифицированного аккаунта, а не через чужой редирект.

Вывод: компенсации Payy — реальный процесс после реального взлома на ~$1,92 млн, и требование сид-фразы действительно звучало от проекта. Это не повод автоматически слать фразу в первый попавшийся URL. Проверяй канал, дождись обновлённой инструкции и помни: легитимный клейм не отменяет риск поддельной копии формы.

FAQ

Что такое компенсации Payy? Это заявленный процесс выплат пострадавшим после взлома моста 24 сентября 2026; легитимные клеймы обещают платить USDC на Ethereum.

Правда ли, что просили сид-фразу? Да. В официальном X Payy написали, что форма требует seed phrase Payy Wallet из‑за privacy-архитектуры. Позже заявили, что обновляют процесс и добавят проверку в приложении.

Сколько украли? Около 1,92 млн USDC суммарно по трём burn/settlement, по постмортему и разборам Certora/CoinAligator.

Как не попасть на фейковый клейм? Бери ссылки только с payy.network и верифицированного @payy_link, не вводи seed чужих кошельков и не торопись, пока проект не зафиксирует актуальный процесс.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.