Trwający atak na platformę kart kryptowalutowych Avici opartą na Solanie podobno wypompował ponad milion dolarów z kont zabezpieczeń użytkowników, wysyłając token AVICI na historyczne minimum.
Podsumowanie
- Podejrzany atakujący posiadał 10 005 SOL i około 11 600 dolarów w stablecoinach w jednym punkcie kontrolnym.
- Zapisy w łańcuchu bloków wykazały powtarzające się wywołania, które dodawały administratora przed wypłatami zabezpieczeń.
- Avici przyznało się do problemu z wypłatami salda karty, ale nie potwierdziło zgłoszonej straty.
- AVICI spadło o 49,4% w ciągu 24 godzin i osiągnęło rekordowe minimum 0,2175 USD.
Atakujący Avici dodaje administratorów przed wypłatami
Według raportów, podejrzany atakujący zebrał 10 005,03 SOL, o wartości około 1,07 miliona dolarów o 18:58 UTC, wraz z około 11 600 dolarów w USDC i USDT. Jego analiza opierała się na dziennikach transakcji Solany i danych RPC zebranych podczas trwającego ataku.
Portfel otrzymał początkowe finansowanie przez deBridge o 13:40 UTC, kiedy 1,79 SOL dotarło z innej sieci. Po pozostaniu nieaktywnym przez około trzy godziny, adres wykonał pierwsze wywołanie dotyczące programów Avici o 16:49:48 UTC.
Dzienniki transakcji przejrzane przez publikację wykazały ten sam trzyetapowy proces na dotkniętych kontach. Po pierwsze, portfel wywołał SubmitSignatures przez program autoryzacyjny Avici w transakcji, która również używała programu weryfikacji podpisu Ed25519 Solany.
Następnie atakujący wywołał AddCollateralAdmin na programie zabezpieczeń Avici, rejestrując dodatkowego administratora dla konta użytkownika. Ostatnie wywołanie WithdrawCollateralAsset przeniosło zabezpieczenie na konto kontrolowane przez atakującego.
W jednej z przejrzanych transakcji instrukcja wypłaty przeniosła 2 346,77 USDT z konta zabezpieczeń użytkownika. Atakujący również zamienił część zebranych stablecoinów na SOL, w tym jedną zamianę, która zwróciła 209,76 SOL.
Do punktu kontrolnego publikacji portfel podpisał 14 672 transakcji, z których 2 344 zakończyły się niepowodzeniem. Jego zasoby SOL wzrosły o około 2 595 tokenów, wówczas warte około 277 000 dolarów, w ciągu 11 minut.
Anonimowy analityk on-chain STACC również stworzył śledzenie na żywo dla dotkniętych transferów. Według danych cytowanych z tego śledzenia, zidentyfikowano 125 kont wysyłających, z indywidualnymi transferami w zakresie od około 9 USDC do ponad 26 000 USDT.
Ani Avici, ani niezależna firma zajmująca się bezpieczeństwem nie opublikowała analizy pośmiertnej identyfikującej, w jaki sposób atakujący uzyskał autoryzację. Chociaż sekwencja transakcji pokazuje, jak przepływały środki, nie ustala, czy incydent wynikał z wady programu, skompromitowanych poświadczeń, ujawnionego organu podpisującego czy innej awarii.
Avici potwierdza problem z wypłatami kart
Avici przyznało się do incydentu w poście na X opublikowanym około godzinę i 53 minuty po pierwszej zgłoszonej transakcji dotyczącej jego programów.
„Jesteśmy świadomi problemu wpływającego na wypłaty salda karty i uważnie monitorujemy sytuację.”
Firma dodała, że pracuje bezpośrednio z odpowiednimi partnerami i będzie przekazywać aktualizacje, gdy tylko pojawią się dalsze informacje. Avici nie nazwało incydentu exploit, nie potwierdziło, ile zostało zabrane, ani nie podało, ilu klientów zostało dotkniętych.
Kilka innych pytań pozostaje bez odpowiedzi, w tym czy działalność ustała, czy Avici wstrzymało swoje programy i czy dotknięci użytkownicy otrzymają odszkodowanie. Firma nie ujawniła, czy jakiekolwiek klucze podpisujące lub konta administracyjne zostały skompromitowane.
Użytkownicy zgłaszali brakujące salda w mediach społecznościowych przed wydaniem oświadczenia przez Avici. Jeden z użytkowników zauważył, że całe jego saldo Avici zostało wypompowane, podczas gdy czekał na informacje od projektu.
Incydent dotyczy programów zabezpieczeń i autoryzacji kart Avici, a nie samej sieci Solana. Żaden dostępny raport nie zidentyfikował podatności w podstawowym blockchainie Solany.
Oba programy Avici były ulepszalne i dzieliły ten sam organ aktualizacyjny, według raportów. Organ ten był podobno standardowym kontem Solana, a nie kontem multisig, chociaż nie ma jeszcze dowodów na to, że organ aktualizacyjny spowodował lub umożliwił wypłaty.
Kontrole operacyjne zyskały większą uwagę, ponieważ ataki wykraczają poza błędy zawarte w kodzie inteligentnych kontraktów. W lipcu crypto.news poinformowało o ustaleniach dotyczących bezpieczeństwa pokazujących, że skompromitowane klucze, podpisujący i infrastruktura stanowiły 88,3% z około 764 milionów dolarów skradzionych w drugim kwartale 2026 roku. Raport Hacken cytowany w artykule wykazał, że tylko 4% śledzonych projektów łączyło audyty, aktywne programy bug bounty i monitoring stron trzecich.
Atak na Avici podważa jej roszczenia o samodzielnym przechowywaniu
Avici opisuje swój produkt jako portfel z samodzielnym przechowywaniem podłączony do zabezpieczonej karty kredytowej Visa. Jego lista w Apple App Store stwierdza, że użytkownicy zachowują kontrolę, a Avici nigdy nie przechowuje ich środków.
W modelu karty klienci wpłacają kryptowaluty na konta zabezpieczeń i otrzymują odpowiedni limit kredytowy. Zakupy zmniejszają dostępne saldo karty, a powiązane zabezpieczenie jest później wykorzystywane do rozliczeń.
Zgłoszona możliwość dodania kolejnego administratora i usunięcia niewykorzystanego zabezpieczenia rodzi pytania o to, jak mechanizmy autoryzacji Avici egzekwują reklamowany model samodzielnego przechowywania. Ustalenie techniczne będzie wymagać od Avici lub niezależnej firmy ochroniarskiej wyjaśnienia, dlaczego zgłoszenia podpisów atakującego zostały zaakceptowane.
Dokumentacja Avici identyfikuje Rain jako partnera zaangażowanego w jej usługę kartową. Rain dostarcza infrastrukturę płatności stablecoin i współpracuje z licencjonowanymi instytucjami w celu wydawania kart powiązanych z Visa i Mastercard. Dostępna analiza transakcji wskazuje na programy Solana Avici, a ani Avici, ani Rain nie stwierdziły, że systemy Rain lub Visa zostały naruszone.
To rozróżnienie jest ważne dla użytkowników, ponieważ produkt płatniczy z samodzielnym przechowywaniem powinien utrzymywać niewykorzystane aktywa pod kontrolą właściciela portfela. Tangem wprowadził podobny model w listopadzie 2025 roku, z wydatkami USDC w łańcuchu za pośrednictwem wirtualnej karty Visa, podczas gdy użytkownicy zachowali kontrolę nad swoimi środkami.
Infrastruktura płatnicza spotkała się również z oddzielnymi incydentami związanymi z portfelami. W lipcu analitycy on-chain zidentyfikowali podejrzane wypływy przekraczające 9,7 miliona dolarów z portfeli powiązanych z dostawcą płatności stablecoin Triple-A w sieciach takich jak Solana, Ethereum, TRON i TON. Triple-A nie potwierdziło, czy aktywa klientów były zaangażowane, gdy opublikowano raport.
AVICI spada o 49% do historycznego minimum
AVICI spadło o 49,4% w ciągu 24 godzin do 0,2175 USD, gdy rozeszły się wieści o wypłatach, według danych CoinGecko cytowanych w tamtym czasie. Wyprzedaż zmniejszyła kapitalizację rynkową tokena do około 2,84 miliona dolarów i pchnęła jego cenę do rekordowo niskiego poziomu.
Wolumen obrotu osiągnął około 656 543 dolarów w tym samym okresie 24 godzin. Większość handlu AVICI odbywała się za pośrednictwem futarchy automatycznego animatora rynku MetaDAO, podczas gdy LBank, KCEX i MEXC odpowiadały za pozostałą zgłoszoną aktywność.
CoinGecko podaje rekordowy poziom AVICI na 7,56 USD, osiągnięty 26 listopada 2025 roku. Dzienny dołek pozostawił token około 97% poniżej tego szczytu.
Avici Inc. to amerykańska firma, która podaje adres w San Francisco na swojej stronie internetowej, podczas gdy jej polityka prywatności identyfikuje ją jako korporację z Delaware. Platforma zapewnia również oddzielne warunki karty dla klientów z USA, tworząc bezpośrednią ekspozycję dla kwalifikujących się amerykańskich użytkowników jej portfela i usług kart zabezpieczonych.
Firma zebrała 3,5 miliona dolarów poprzez ograniczoną sprzedaż tokenów MetaDAO w październiku 2025 roku. Rekord zbiórki MetaDAO pokazuje, że 7352 darczyńców zobowiązało się do około 34,23 miliona dolarów, ale Avici zwróciło około 89,8% zadeklarowanego USDC po zastosowaniu limitu sprzedaży.
Oferta wyceniła AVICI na 0,35 USD i wyceniła projekt na około 4,52 miliona dolarów w pełni rozwodniony. Avici wyemitowało 10 milionów tokenów w ramach sprzedaży, co stanowi około 77,5% jego podaży wynoszącej 12,9 miliona tokenów.
