据报道，针对基于Solana的加密卡平台Avici的持续攻击已从用户抵押账户中盗取超过100万美元，同时将其AVICI代币推至历史新低。
摘要
- 疑似攻击者在某个检查点持有10,005 SOL和约11,600美元稳定币。
- 链上记录显示，在抵押品提取之前，有重复调用添加管理员。
- Avici承认存在卡余额提现问题，但未确认报告的损失。
- AVICI在24小时内下跌49.4%，触及0.2175美元的历史低点。
Avici攻击者在提款前添加管理员
根据报道，疑似攻击者已收集10,005.03 SOL，在UTC时间18:58价值约107万美元，以及约11,600美元的USDC和USDT。其分析基于攻击仍在进行时收集的Solana交易日志和RPC数据。
该钱包于UTC时间13:40通过deBridge收到初始资金，当时有1.79 SOL从另一个网络到达。在闲置约三小时后，该地址于UTC时间16:49:48首次调用Avici的程序。
该媒体审查的交易日志显示，受影响账户均经历相同的三步流程。首先，钱包通过Avici的授权程序调用SubmitSignatures，该交易还使用了Solana的Ed25519签名验证程序。
接下来，攻击者在Avici的抵押品程序上调用AddCollateralAdmin，为用户账户注册了额外的管理员。最后的WithdrawCollateralAsset调用将抵押品转移到攻击者控制的账户。
在一笔审查的交易中，提款指令从用户的抵押账户转出了2,346.77 USDT。攻击者还将部分收集的稳定币兑换为SOL，其中一笔兑换返回了209.76 SOL。
截至该媒体的检查点，该钱包已签署14,672笔交易，其中2,344笔失败。在11分钟内，其SOL持有量增加了约2,595枚，当时价值约277,000美元。
匿名链上分析师STACC还为受影响的转账创建了实时追踪器。根据追踪器引用的数据，已识别出125个发送账户，单笔转账金额从约9 USDC到超过26,000 USDT不等。
Avici和独立安全公司均未发布事后分析，说明攻击者如何获得授权。尽管交易序列显示了资金流动方式，但并未确定该事件是由于程序缺陷、凭据泄露、签名权限暴露还是其他故障所致。
Avici确认卡提现问题
Avici在首次涉及其实程序的交易报告后约1小时53分钟，在X帖子中承认了该事件。
“我们意识到影响卡余额提现的问题，并正在密切监控情况。”
该公司补充说，正在与相关合作伙伴直接合作，并在获得更多信息后提供更新。Avici未将该事件称为漏洞利用，也未确认被盗金额或受影响客户数量。
其他几个问题仍未得到解答，包括活动是否已停止、Avici是否已暂停其程序，以及受影响用户是否会获得补偿。该公司未披露是否有任何签名密钥或管理账户被泄露。
在Avici发布声明之前，用户已在社交媒体上报告余额缺失。一位用户特别表示，在等待项目信息时，其整个Avici余额已被耗尽。
该事件涉及Avici的卡抵押品和授权程序，而非Solana网络本身。目前没有报告指出Solana底层区块链存在漏洞。
据报道，Avici的两个程序都是可升级的，并共享相同的升级权限。该权限据称是一个标准的Solana账户，而不是多重签名账户，尽管目前还没有证据表明升级权限导致或促成了提款。
随着攻击超越了智能合约代码中的缺陷，运营控制受到了更多关注。7月，crypto.news 报道了安全调查结果，显示在2026年第二季度被盗的约7.64亿美元中，受损密钥、签名者和基础设施占了88.3%。文章中引用的Hacken报告发现，只有4%的受追踪项目结合了审计、活跃的漏洞赏金和第三方监控。
Avici攻击挑战其自我托管声明
Avici将其产品描述为连接安全Visa信用卡的自我托管钱包。其Apple App Store列表指出，用户保持控制权，Avici从不持有他们的资金。
在卡片模式下，客户将加密货币存入抵押账户，并获得相应的信用额度。购买会减少可用卡余额，而相关抵押品随后用于结算。
据报道，能够添加另一个管理员并移除未花费的抵押品，这引发了人们对Avici的授权控制如何执行其宣传的自我托管模式的质疑。技术发现将需要Avici或独立安全公司解释为什么攻击者的签名提交被接受。
Avici的文档将Rain确定为其卡服务合作伙伴。Rain提供稳定币支付基础设施，并与持牌机构合作发行与Visa和Mastercard关联的卡片。可用的交易分析指向Avici的Solana程序，Avici和Rain均未表示Rain或Visa的系统受到损害。
这一区别对用户很重要，因为自我托管支付产品应该将未花费的资产保持在钱包所有者的控制之下。Tangem在2025年11月推出了类似模式，通过虚拟Visa卡进行链上USDC消费，同时用户保留对其资金的控制权。
支付基础设施也面临其他与钱包相关的事件。7月，链上分析师发现了可疑的资金外流，超过970万美元，来自与稳定币支付提供商Triple-A相关的钱包，涉及Solana、Ethereum、TRON和TON等网络。在报告发布时，Triple-A尚未确认是否涉及客户资产。
AVICI下跌49%至历史新低
根据当时引用的CoinGecko数据，随着提款消息的传播，AVICI在24小时内下跌了49.4%，至0.2175美元。此次抛售将该代币的市值降至约284万美元，并将其价格推至历史新低。
同期交易量达到约656,543美元。大部分AVICI交易通过MetaDAO的futarchy自动做市商进行，而LBank、KCEX和MEXC则占据了其余报告的活动。
CoinGecko将AVICI的历史最高价列为7.56美元，于2025年11月26日达到。事件当日低点使该代币较峰值下跌约97%。
Avici Inc.是一家美国公司，其网站上列出了旧金山地址，而其隐私政策将其标识为特拉华州公司。该平台还为美国客户提供单独的卡条款，使其符合条件的美国用户直接面临其钱包和担保卡服务的风险。
该公司于2025年10月通过MetaDAO的封顶代币销售筹集了350万美元。MetaDAO的筹款记录显示，7,352名贡献者承诺了约3423万美元，但Avici在应用销售上限后退还了约89.8%的承诺USDC。
此次发行将AVICI定价为0.35美元，按完全稀释计算，项目估值约为452万美元。Avici通过销售发行了1000万枚代币，占其1290万枚代币供应量的约77.5%。
