Según lo divulgado oficialmente por Purrlend, el 25 de abril de 2026 ocurrió un incidente de seguridad en la implementación de HyperEVM y MegaETH, con una pérdida aproximada de 1.52 millones de dólares, debido a que la billetera del administrador con firma múltiple que representa más de 2/3 del equipo fue comprometida.

El atacante obtuvo múltiples permisos de administración, incluido BRIDGE_ROLE, y mediante mintUnbacked acuñó aproximadamente 2 millones de pUSDm y 4.85 millones de pUSDC, entre otros tokens sin respaldo, y utilizó estos como garantía para prestar activos reales, extrayendo finalmente unos 1.52 millones de dólares en activos del fondo del protocolo.
Posteriormente, el atacante cambió los activos por USDC y ETH y los transfirió a través de plataformas como Mayan y LiFi, con aproximadamente 652 ETH aún rastreables en direcciones en la cadena.
El equipo del proyecto indicó que se ha suspendido el protocolo, revocado permisos y iniciado una investigación, colaborando con agencias de seguridad y autoridades para rastrear los fondos.
Afirmaron que el incidente se debió a un problema de seguridad operacional en la configuración de la firma múltiple, específicamente la falta de un bloqueo de tiempo, y no a una vulnerabilidad en el contrato inteligente.
Planean introducir un bloqueo de tiempo, fortalecer la seguridad de la firma múltiple y el control de permisos, además de estudiar un plan de compensación para los usuarios.
El protocolo permanecerá en pausa hasta que se confirme la seguridad.