Продолжающаяся атака на криптовалютную карточную платформу Avici на базе Solana, по сообщениям, вывела более 1 миллиона долларов с пользовательских счетов обеспечения, отправив токен AVICI на исторический минимум.
Резюме
- Предполагаемый злоумышленник на одном из контрольных точек владел 10 005 SOL и около 11 600 долларов в стейблкоинах.
- Записи в блокчейне показали повторяющиеся вызовы, которые добавляли администратора перед выводом средств обеспечения.
- Avici признала проблему с выводом средств с карты, но не подтвердила заявленный убыток.
- AVICI упал на 49,4% за 24 часа и достиг рекордного минимума в 0,2175 доллара.
Злоумышленник Avici добавляет администраторов перед выводом средств
Согласно сообщениям, предполагаемый злоумышленник собрал 10 005,03 SOL, что составляет около 1,07 миллиона долларов на 18:58 UTC, а также примерно 11 600 долларов в USDC и USDT. Его анализ был основан на журналах транзакций Solana и данных RPC, собранных, пока атака все еще продолжалась.
Кошелек получил первоначальное финансирование через deBridge в 13:40 UTC, когда 1,79 SOL поступило из другой сети. После бездействия около трех часов адрес совершил первый вызов, связанный с программами Avici, в 16:49:48 UTC.
Журналы транзакций, изученные изданием, показали один и тот же трехэтапный процесс для затронутых счетов. Сначала кошелек вызывал SubmitSignatures через программу авторизации Avici в транзакции, которая также использовала программу проверки подписи Ed25519 от Solana.
Затем злоумышленник вызывал AddCollateralAdmin в программе обеспечения Avici, регистрируя дополнительного администратора для счета пользователя. Финальный вызов WithdrawCollateralAsset затем переводил обеспечение на счет, контролируемый злоумышленником.
В одной из рассмотренных транзакций инструкция по выводу переместила 2 346,77 USDT со счета обеспечения пользователя. Злоумышленник также конвертировал часть собранных стейблкоинов в SOL, включая один обмен, который вернул 209,76 SOL.
К контрольной точке издания кошелек подписал 14 672 транзакции, из которых 2 344 завершились неудачей. Его запасы SOL увеличились примерно на 2 595 токенов, что тогда составляло около 277 000 долларов, за 11-минутный период.
Анонимный аналитик блокчейна STACC также создал живой трекер для затронутых переводов. Согласно цифрам, приведенным из трекера, было идентифицировано 125 отправляющих счетов, при этом отдельные переводы варьировались от примерно 9 USDC до более чем 26 000 USDT.
Ни Avici, ни независимая компания по безопасности не опубликовали посмертный анализ, определяющий, как злоумышленник получил авторизацию. Хотя последовательность транзакций показывает, как двигались средства, она не устанавливает, был ли инцидент результатом ошибки программы, скомпрометированных учетных данных, раскрытого полномочия подписи или другого сбоя.
Avici подтверждает проблему с выводом средств с карты
Avici признала инцидент в посте на X, опубликованном примерно через 1 час 53 минуты после первой зарегистрированной транзакции с участием ее программ.
«Мы знаем о проблеме, влияющей на вывод средств с карты, и внимательно следим за ситуацией».
Компания добавила, что работает напрямую с соответствующими партнерами и предоставит обновления, как только появится дополнительная информация. Avici не назвала инцидент эксплойтом, не подтвердила, сколько было выведено, и не сообщила, сколько клиентов пострадало.
Несколько других вопросов также остаются без ответа, включая то, прекратилась ли активность, приостановила ли Avici свои программы и получат ли пострадавшие пользователи компенсацию. Компания не раскрыла, были ли скомпрометированы какие-либо ключи подписи или административные учетные записи.
Пользователи сообщали о пропавших балансах в социальных сетях до того, как Avici выпустила свое заявление. Один пользователь особенно отметил, что весь его баланс Avici был выведен, пока он ждал информации от проекта.
Инцидент касается программ обеспечения и авторизации карт Avici, а не самой сети Solana. Ни один доступный отчет не выявил уязвимость в базовом блокчейне Solana.
Согласно сообщениям, обе программы Avici были обновляемыми и имели один и тот же орган обновления. Сообщается, что этот орган был стандартным аккаунтом Solana, а не мультиподписным аккаунтом, хотя пока нет доказательств того, что орган обновления вызвал или позволил вывод средств.
Операционному контролю уделяется повышенное внимание, поскольку атаки выходят за рамки недостатков, содержащихся в коде смарт-контрактов. В июле crypto.news сообщил о результатах исследования безопасности, показывающих, что скомпрометированные ключи, подписанты и инфраструктура составили 88,3% из примерно 764 миллионов долларов, украденных во втором квартале 2026 года. В отчете Hacken, на который ссылается статья, говорится, что только 4% отслеживаемых проектов сочетали аудиты, активные программы вознаграждения за обнаружение ошибок и сторонний мониторинг.
Атака на Avici ставит под сомнение ее заявления о самостоятельном хранении
Avici описывает свой продукт как кошелек с самостоятельным хранением, связанный с защищенной кредитной картой Visa. В его списке в Apple App Store указано, что пользователи сохраняют контроль, и что Avici никогда не хранит их средства.
В рамках карточной модели клиенты вносят криптовалюту на залоговые счета и получают соответствующий кредитный лимит. Покупки уменьшают доступный баланс карты, а связанный залог позже используется для расчетов.
Сообщаемая возможность добавить еще одного администратора и удалить неизрасходованный залог вызывает вопросы о том, как механизмы авторизации Avici обеспечивают ее рекламируемую модель самостоятельного хранения. Техническое заключение потребует от Avici или независимой компании по безопасности объяснить, почему подписи атакующего были приняты.
В документации Avici Rain указан как партнер, участвующий в ее карточном сервисе. Rain предоставляет инфраструктуру для платежей в стейблкоинах и работает с лицензированными учреждениями для выпуска карт, связанных с Visa и Mastercard. Доступный анализ транзакций указывает на программы Solana от Avici, и ни Avici, ни Rain не заявили, что системы Rain или Visa были скомпрометированы.
Это различие важно для пользователей, потому что продукт для платежей с самостоятельным хранением должен сохранять неизрасходованные активы под контролем владельца кошелька. Tangem представила аналогичную модель в ноябре 2025 года, с ончейн-тратами USDC через виртуальную карту Visa, при этом пользователи сохраняли право хранения своих средств.
Платежная инфраструктура также столкнулась с отдельными инцидентами, связанными с кошельками. В июле ончейн-аналитики выявили подозрительные оттоки на сумму более 9,7 миллиона долларов из кошельков, связанных с поставщиком платежей в стейблкоинах Triple-A, в сетях, включая Solana, Ethereum, TRON и TON. На момент публикации отчета Triple-A не подтвердила, были ли затронуты активы клиентов.
AVICI падает на 49% до исторического минимума
AVICI упал на 49,4% за 24 часа до $0,2175, поскольку распространились сообщения о выводах, согласно данным CoinGecko, на которые ссылались в то время. Распродажа снизила рыночную капитализацию токена примерно до 2,84 миллиона долларов и привела его цену к рекордно низкому уровню.
Объем торгов составил около 656 543 долларов за тот же 24-часовой период. Большая часть торговли AVICI происходила через футархический автоматический маркет-мейкер MetaDAO, в то время как LBank, KCEX и MEXC обеспечивали остальную зарегистрированную активность.
CoinGecko указывает рекордный максимум AVICI на уровне $7,56, достигнутый 26 ноября 2025 года. Минимум в день инцидента оставил токен примерно на 97% ниже этого пика.
Avici Inc. — американская компания, которая указывает адрес в Сан-Франциско на своем веб-сайте, а ее политика конфиденциальности идентифицирует ее как корпорацию Делавэра. Платформа также предоставляет отдельные условия карты для клиентов из США, что создает прямую подверженность для подходящих американских пользователей ее кошелька и услуг обеспеченных карт.
Компания привлекла 3,5 миллиона долларов через ограниченную продажу токенов MetaDAO в октябре 2025 года. Запись о сборе средств MetaDAO показывает, что 7 352 участника внесли примерно 34,23 миллиона долларов, но Avici вернула около 89,8% зарезервированного USDC после применения ограничения продажи.
Предложение оценило AVICI в $0,35 и оценило проект примерно в 4,52 миллиона долларов на полностью разводненной основе. Avici выпустила 10 миллионов токенов в ходе продажи, что составляет около 77,5% от ее предложения в 12,9 миллиона токенов.
