De acordo com a divulgação oficial do Purrlend, em 25 de abril de 2026, ocorreu um incidente de segurança na implantação do HyperEVM e MegaETH, resultando em uma perda de aproximadamente 1,52 milhão de dólares, devido ao fato de que a carteira de administrador de múltiplas assinaturas, que representava mais de 2/3 da equipe, foi comprometida.

O atacante obteve múltiplos privilégios de gerenciamento, incluindo o papel BRIDGE_ROLE, e através do mintUnbacked cunhou cerca de 2 milhões de pUSDm e 4,85 milhões de pUSDC, entre outros tokens sem lastro, além de emprestar ativos reais como garantia.
Por fim, o atacante retirou aproximadamente 1,52 milhão de dólares em ativos do pool do protocolo; posteriormente, trocou os ativos por USDC e ETH e transferiu via cross-chain usando Mayan, LiFi e outros, com cerca de 652 ETH ainda rastreáveis na blockchain.
A equipe do projeto afirmou que pausou o protocolo, revogou permissões e iniciou uma investigação, colaborando com agências de segurança e autoridades para rastrear os fundos, e declarou que o incidente foi causado por uma questão de segurança operacional na configuração de múltiplas assinaturas sem o uso de um time lock, e não por uma vulnerabilidade no contrato inteligente.
Planeja introduzir time lock, reforçar a segurança de múltiplas assinaturas e o controle de permissões, além de estudar um plano de compensação para os usuários, mantendo o protocolo suspenso até a confirmação de segurança.