Det mest omtalte angrepet hendte den 23. november 2008. Da hadde en bruker klart å finne et sikkerhetshull slik at han kunne inkludere JavaScript i profiler. Brukeren benyttet dette til å skrive en såkalt «orm» som spredte seg fra profil til profil og bestilte MAX-medlemskap til tilfeldige brukere. Over hundre personer fikk ormen før Nettby oppdaget problemet, men da hadde brukere til sammen blitt tappet for cirka 70 000 kroner. Nettby lovet at brukerne skulle få pengene sine tilbake, men det er usikkert om alle faktisk fikk det.