Поточна атака на криптокарткову платформу Avici на основі Solana, за повідомленнями, вивела понад 1 мільйон доларів з рахунків користувачів під заставу, відправивши токен AVICI на історичний мінімум.
Підсумок
- Підозрюваний атакуючий тримав 10 005 SOL та близько 11 600 доларів у стейблкоїнах на одному контрольному пункті.
- Записи в блокчейні показали повторні виклики, які додавали адміністратора перед виведенням застави.
- Avici підтвердила проблему з виведенням балансу картки, але не підтвердила заявлені збитки.
- AVICI впав на 49,4% протягом 24 годин і досяг рекордного мінімуму в 0,2175 долара.
Атакуючий Avici додає адміністраторів перед виведенням коштів
Згідно з повідомленнями, підозрюваний атакуючий зібрав 10 005,03 SOL, що становить близько 1,07 мільйона доларів на 18:58 UTC, разом із приблизно 11 600 доларів у USDC та USDT. Його аналіз базувався на журналах транзакцій Solana та даних RPC, зібраних, поки атака ще тривала.
Гаманець отримав початкове фінансування через deBridge о 13:40 UTC, коли 1,79 SOL надійшли з іншої мережі. Після бездіяльності протягом приблизно трьох годин адреса зробила перший виклик, що стосувався програм Avici, о 16:49:48 UTC.
Журнали транзакцій, переглянуті виданням, показали той самий триетапний процес для уражених акаунтів. Спочатку гаманець викликав SubmitSignatures через програму авторизації Avici у транзакції, яка також використовувала програму перевірки підпису Ed25519 від Solana.
Далі атакуючий викликав AddCollateralAdmin у програмі застави Avici, реєструючи додаткового адміністратора для акаунта користувача. Останній виклик WithdrawCollateralAsset потім переказав заставу на акаунт, контрольований атакуючим.
В одній переглянутій транзакції інструкція виведення перемістила 2 346,77 USDT з акаунта застави користувача. Атакуючий також конвертував частину зібраних стейблкоїнів у SOL, включаючи один обмін, який повернув 209,76 SOL.
На контрольному пункті видання гаманець підписав 14 672 транзакції, з яких 2 344 зазнали невдачі. Його запаси SOL збільшилися приблизно на 2 595 токенів, що тоді коштували приблизно 277 000 доларів, протягом 11-хвилинного періоду.
Анонімний аналітик блокчейну STACC також створив живий трекер для уражених переказів. Згідно з цифрами, наведеними з трекера, було ідентифіковано 125 акаунтів-відправників, з окремими переказами від приблизно 9 USDC до понад 26 000 USDT.
Ні Avici, ні незалежна охоронна компанія не опублікували посмертний аналіз, що визначає, як атакуючий отримав авторизацію. Хоча послідовність транзакцій показує, як рухалися кошти, вона не встановлює, чи стався інцидент через ваду програми, скомпрометовані облікові дані, відкритий орган підпису чи інший збій.
Avici підтверджує проблему з виведенням картки
Avici визнала інцидент у публікації X, опублікованій приблизно через 1 годину 53 хвилини після першої зареєстрованої транзакції, що стосувалася її програм.
«Ми знаємо про проблему, що впливає на виведення балансу картки, і уважно стежимо за ситуацією».
Компанія додала, що працює безпосередньо з відповідними партнерами та надасть оновлення, щойно з'явиться більше інформації. Avici не назвала інцидент експлойтом, не підтвердила, скільки було викрадено, і не повідомила, скількох клієнтів це торкнулося.
Кілька інших питань також залишаються без відповіді, зокрема, чи припинилася активність, чи призупинила Avici свої програми, і чи отримають постраждалі користувачі компенсацію. Компанія не розкрила, чи були скомпрометовані будь-які ключі підпису або адміністративні акаунти.
Користувачі повідомляли про відсутні баланси в соціальних мережах до того, як Avici опублікувала свою заяву. Один користувач помітно сказав, що весь його баланс Avici був виведений, поки він чекав на інформацію від проєкту.
Інцидент стосується програм застави та авторизації картки Avici, а не самої мережі Solana. Жоден доступний звіт не виявив вразливості в базовому блокчейні Solana.
За повідомленнями, обидві програми Avici були оновлюваними та мали спільний орган оновлення. Зазначалося, що цей орган був стандартним акаунтом Solana, а не мультипідписним акаунтом, хоча жодних доказів того, що орган оновлення спричинив або дозволив виведення коштів, ще не надано.
Операційний контроль привертає все більше уваги, оскільки атаки виходять за межі вразливостей у коді смарт-контрактів. У липні crypto.news повідомив про результати досліджень безпеки, які показали, що скомпрометовані ключі, підписанти та інфраструктура становили 88,3% від приблизно 764 мільйонів доларів, вкрадених протягом другого кварталу 2026 року. У звіті Hacken, на який посилається стаття, зазначено, що лише 4% відстежуваних проєктів поєднували аудити, активні програми винагород за виявлення помилок та сторонній моніторинг.
Атака на Avici ставить під сумнів її заяви про самозберігання
Avici описує свій продукт як самозберігаючий гаманець, підключений до захищеної кредитної картки Visa. У його списку в Apple App Store зазначено, що користувачі зберігають контроль, а Avici ніколи не зберігає їхні кошти.
За моделлю картки клієнти вносять криптовалюту на заставні рахунки та отримують відповідний кредитний ліміт. Покупки зменшують доступний баланс картки, а відповідна застава пізніше використовується для розрахунків.
Повідомлена можливість додати іншого адміністратора та видалити невитрачену заставу викликає питання щодо того, як механізми авторизації Avici забезпечують рекламовану модель самозберігання. Технічне дослідження вимагатиме від Avici або незалежної компанії з безпеки пояснити, чому підписи атакуючого були прийняті.
У документації Avici зазначено, що Rain є партнером, який бере участь у наданні карткових послуг. Rain надає інфраструктуру для платежів у стейблкоїнах і співпрацює з ліцензованими установами для випуску карток, підключених до Visa та Mastercard. Доступний аналіз транзакцій вказує на програми Avici на Solana, і жодна з компаній Avici чи Rain не заявила, що системи Rain або Visa були скомпрометовані.
Ця відмінність важлива для користувачів, оскільки самозберігаючий платіжний продукт має тримати невитрачені активи під контролем власника гаманця. Tangem представила подібну модель у листопаді 2025 року з витратами USDC в ончейні через віртуальну картку Visa, при цьому користувачі зберігали контроль над своїми коштами.
Платіжна інфраструктура також стикалася з окремими інцидентами, пов'язаними з гаманцями. У липні ончейн-аналітики виявили підозрілі відтоки на суму понад 9,7 мільйона доларів з гаманців, пов'язаних з постачальником платіжних послуг у стейблкоїнах Triple-A, у мережах, включаючи Solana, Ethereum, TRON та TON. На момент публікації звіту Triple-A не підтвердила, чи були залучені активи клієнтів.
AVICI падає на 49% до історичного мінімуму
Згідно з даними CoinGecko, наведеними на той час, AVICI впав на 49,4% за 24 години до $0,2175, коли поширилися повідомлення про виведення коштів. Розпродаж знизив ринкову капіталізацію токена приблизно до 2,84 мільйона доларів і довів його ціну до рекордно низького рівня.
Обсяг торгів за той самий 24-годинний період становив близько 656 543 доларів. Більшість торгів AVICI відбувалася через футархійний автоматизований маркет-мейкер MetaDAO, тоді як LBank, KCEX та MEXC становили решту зареєстрованої активності.
CoinGecko вказує рекордний максимум AVICI на рівні $7,56, досягнутий 26 листопада 2025 року. Мінімум у день інциденту залишив токен приблизно на 97% нижче цього піку.
Avici Inc. — американська компанія, яка вказує адресу в Сан-Франциско на своєму веб-сайті, а її політика конфіденційності ідентифікує її як корпорацію Делаверу. Платформа також надає окремі умови використання карток для клієнтів із США, що створює прямий вплив на відповідних американських користувачів її гаманця та послуг забезпечених карток.
Компанія залучила 3,5 мільйона доларів через обмежений продаж токенів MetaDAO у жовтні 2025 року. Запис про збір коштів MetaDAO показує, що 7 352 учасники зобов'язалися внести приблизно 34,23 мільйона доларів, але Avici повернула близько 89,8% зарезервованого USDC після застосування ліміту продажу.
Пропозиція оцінила AVICI у $0,35 і оцінила проєкт приблизно в 4,52 мільйона доларів на повністю розбавленій основі. Avici випустила 10 мільйонів токенів через продаж, що становить близько 77,5% від її пропозиції у 12,9 мільйона токенів.
