Avici na Solanie zhakowany — skradziono 653 548 USD

Neobank Avici działający na blockchainie Solana został zhakowany. Z indywidualnych kontraktów escrow kart wyprowadzono 653 548 USD, a token AVICI stracił około 40% wartości, osiągając 0,24 USD. Na aktywnym monitorze on‑chain widoczne były transfery do momentu publikacji.

Avici oferuje kartę Visa zabezpieczoną stablecoinem USDC. Użytkownicy blokują środki w smart kontraktach escrow; wydatki zmniejszają dostępne saldo. Kartę wydaje Third National, a nie Avici. Dokumentacja firmy wskazywała, że po odjęciu wydatków środki z kontraktu może wypłacić tylko portfel użytkownika, jednak w piątek skarbce zostały opróżnione.

Badacze on‑chain wskazują, że napastnik przesłał specjalnie przygotowany pakiet podpisów, nadał sobie uprawnienia administratora względem kont escrow i wypłacił środki. Avici nie potwierdziło tej metody ataku. Samodzielna kontrola kodu firmy miała wykazać, kto nie ma prawa zabierać cudzych pieniędzy, ale nie wyeliminowała wszystkich uprzywilejowanych ścieżek w oprogramowaniu.

Każdy klient miał osobny kontrakt escrow, więc środki były wyprowadzane z wielu indywidualnych kont, a nie z jednej wspólnej puli. Działanie napastnika miało charakter powtarzalnych transferów z wielu skarbców.

Skradziona kwota stanowiła znaczną część kapitalizacji tokena AVICI; cena tokena spadła blisko 40%. Niezweryfikowane raporty on‑chain sugerowały, że łączne straty mogły przekroczyć 1 mln USD i że miało być dotkniętych kilka tysięcy użytkowników; te informacje nie zostały potwierdzone przez firmę.

Avici opublikowało krótki komunikat na platformie X: „Jesteśmy świadomi problemu uniemożliwiającego wypłaty sald z kart i uważnie monitorujemy sytuację. Współpracujemy ze wszystkimi odpowiednimi partnerami, aby to rozwiązać, i przekażemy aktualizacje, gdy tylko będziemy mieli więcej informacji.”

Firma nie podała, czy wszystkie kontrakty escrow są kompromitowane ani czy rozliczenia kart obsługiwane przez Third National są zagrożone. Do chwili publikacji nie udostępniono pełnej analizy po incydencie ani harmonogramu działań naprawczych.