Внешний платёжный провайдер начал отвечать за 30 секунд вместо 200 миллисекунд. Через минуту сервис перестал отвечать вообще, включая страницы, не связанные с оплатой. Что произошло?

Это классическое начало каскадного отказа. Пока провайдер отвечал за двести миллисекунд, каждый поток освобождался быстро и пула хватало; при тридцати секундах каждый запрос удерживает поток в полтораста раз дольше, поэтому пул исчерпывается за считанные секунды. Дальше запросы, не имеющие к оплате никакого отношения, встают в очередь за свободным потоком — и сервис выглядит полностью недоступным. Правильный набор мер известен: таймаут на каждый внешний вызов, выставленный по наблюдаемому верхнему перцентилю с запасом, а не в тридцать секунд; изоляция ресурсов, то есть отдельный пул или ограничение числа одновременных вызовов именно к этой зависимости, чтобы её деградация не касалась остального; предохранитель, который после порога ошибок начинает отклонять вызовы мгновенно и даёт провайдеру восстановиться; и продуманная деградация — принять заказ и подтвердить оплату позже вместо ожидания. Ответ про нехватку памяти неверен, а тезис «сервис не может быть быстрее зависимости» верен лишь для операций, которые эту зависимость используют, — и именно чтобы он не распространялся на всё остальное, применяют изоляцию.