Атака на Avici обошлась пользователям Solana более чем в $1 млн

Атака на платформу криптокарт Avici, основанную на Solana, reportedly drained более $1 миллиона из пользовательских залоговых счетов, одновременно отправив токен AVICI на исторический минимум.

Резюме

• Подозреваемый злоумышленник имел 10,005 SOL и около $11,600 в стейблкоинах на одном из контрольных пунктов.
• Записи в блокчейне показали повторяющиеся вызовы, которые добавляли администратора перед выводом залога.
• Avici признала проблему с выводом баланса карты, но не подтвердила сообщенные убытки.
• AVICI упал на 49.4% за 24 часа и достиг рекордного минимума в $0.2175.

Злоумышленник Avici добавляет администраторов перед выводами

Согласно отчетам, подозреваемый злоумышленник собрал 10,005.03 SOL, стоимостью около $1.07 миллиона на 18:58 UTC, а также примерно $11,600 в USDC и USDT. Его анализ основывался на журналах транзакций Solana и данных RPC, собранных во время атаки.

Кошелек получил первоначальное финансирование через deBridge в 13:40 UTC, когда 1.79 SOL поступило из другой сети. После того как он оставался неактивным около трех часов, адрес сделал свой первый вызов, связанный с программами Avici, в 16:49:48 UTC.

Журналы транзакций, изученные изданием, показали один и тот же трехступенчатый процесс на затронутых счетах. Сначала кошелек вызвал SubmitSignatures через авторизационную программу Avici в транзакции, которая также использовала программу проверки подписи Ed25519 Solana.

Далее злоумышленник вызвал AddCollateralAdmin в программе залога Avici, зарегистрировав дополнительного администратора для учетной записи пользователя. Финальный вызов WithdrawCollateralAsset затем перевел залог на счет, контролируемый злоумышленником.

В одной из изученных транзакций инструкция на вывод переместила 2,346.77 USDT с залогового счета пользователя. Злоумышленник также конвертировал некоторые собранные стейблкоины в SOL, включая один обмен, который вернул 209.76 SOL.

По данным контрольной точки издания, кошелек подписал 14,672 транзакции, из которых 2,344 не удались. Его запасы SOL увеличились примерно на 2,595 токенов, которые тогда стоили около $277,000, за 11 минут.

Анонимный аналитик блокчейна STACC также создал живой трекер для затронутых переводов. Согласно данным, приведенным из трекера, было идентифицировано 125 отправляющих счетов, при этом отдельные переводы варьировались от примерно 9 USDC до более чем 26,000 USDT.

Ни Avici, ни независимая компания по безопасности не опубликовали посмертный анализ, определяющий, как злоумышленник получил авторизацию. Хотя последовательность транзакций показывает, как перемещались средства, она не устанавливает, произошел ли инцидент из-за ошибки программы, скомпрометированных учетных данных, раскрытой подписи или другой ошибки.

Avici подтверждает проблему с выводом карты

Avici признала инцидент в посте в X, опубликованном примерно через час и 53 минуты после первой зарегистрированной транзакции, связанной с ее программами.

"Мы знаем о проблеме, касающейся вывода баланса карты, и внимательно следим за ситуацией."

Компания добавила, что работает непосредственно с соответствующими партнерами и предоставит обновления, как только появится больше информации. Avici не назвала инцидент эксплуатацией, не подтвердила, сколько было украдено, или сколько клиентов пострадало.

Несколько других вопросов также остаются без ответа, включая то, остановилась ли активность, приостановила ли Avici свои программы и получат ли пострадавшие пользователи компенсацию. Компания не раскрыла, были ли скомпрометированы какие-либо ключи подписи или административные учетные записи.

Пользователи сообщали о пропавших балансах в социальных сетях до того, как Avici выпустила свое заявление. Один пользователь особенно отметил, что весь его баланс Avici был исчерпан, пока он ждал информации от проекта.

Инцидент касается программ обеспечения залога и авторизации Avici, а не самой сети Solana. Ни один доступный отчет не выявил уязвимость в базовом блокчейне Solana.

Согласно отчетам, обе программы Avici были обновляемыми и имели одно и то же право на обновление. Это право, как сообщается, было стандартной учетной записью Solana, а не многоподписной учетной записью, хотя пока нет доказательств того, что право на обновление вызвало или позволило вывод средств.

Операционные контрольные меры получили повышенное внимание, поскольку атаки выходят за рамки недостатков, содержащихся в коде смарт-контрактов. В июле crypto.news сообщила о результатах безопасности, показывающих, что скомпрометированные ключи, подписанты и инфраструктура составили 88,3% от примерно 764 миллионов долларов, украденных во втором квартале 2026 года. В отчете Hacken, упомянутом в статье, было указано, что только 4% отслеживаемых проектов сочетали аудиты, активные программы вознаграждений за ошибки и мониторинг третьими сторонами.

Атака на Avici ставит под сомнение его заявления о самосохранении

Avici описывает свой продукт как самосохраняющийся кошелек, подключенный к защищенной кредитной карте Visa. В списке в Apple App Store указано, что пользователи остаются под контролем, и что Avici никогда не удерживает их средства.

В рамках модели карты клиенты вносят криптовалюту на залоговые счета и получают соответствующий кредитный лимит. Покупки уменьшают доступный баланс карты, в то время как связанный залог позже используется для расчетов.

Сообщенная возможность добавления другого администратора и удаления неиспользуемого залога вызывает вопросы о том, как контроль авторизации Avici обеспечивает его рекламируемую модель самосохранения. Техническое заключение потребует от Avici или независимой компании по безопасности объяснить, почему подписи злоумышленника были приняты.

Документация Avici указывает на Rain как на партнера, участвующего в его карточной услуге. Rain предоставляет инфраструктуру для платежей в стейблкоинах и работает с лицензированными учреждениями для выпуска карт, связанных с Visa и Mastercard. Доступный анализ транзакций указывает на программы Avici в Solana, и ни Avici, ни Rain не заявили, что системы Rain или Visa были скомпрометированы.

Это различие важно для пользователей, поскольку продукт для платежей с самосохранением должен сохранять неиспользуемые активы под контролем владельца кошелька. Tangem представила аналогичную модель в ноябре 2025 года, с использованием USDC в цепочке через виртуальную карту Visa, в то время как пользователи сохраняли контроль над своими средствами.

Инфраструктура платежей также столкнулась с отдельными инцидентами, связанными с кошельками. В июле аналитики цепочки выявили подозрительные оттоки, превышающие 9,7 миллиона долларов, из кошельков, связанных с поставщиком платежей в стейблкоинах Triple-A, через сети, включая Solana, Ethereum, TRON и TON. Triple-A не подтвердила, были ли вовлечены активы клиентов, когда отчет был опубликован.

AVICI упал на 49% до исторического минимума

AVICI упал на 49,4% за 24 часа до 0,2175 доллара, когда распространились сообщения о выводах средств, согласно данным CoinGecko, приведенным в то время. Продажа снизила рыночную капитализацию токена до примерно 2,84 миллиона долларов и опустила его цену до исторического минимума.

Объем торгов составил около 656 543 долларов за тот же 24-часовой период. Большая часть торговли AVICI происходила через автоматизированный маркет-мейкер MetaDAO, в то время как LBank, KCEX и MEXC составили оставшуюся часть зарегистрированной активности.

CoinGecko указывает, что исторический максимум AVICI составил 7,56 доллара, достигнутый 26 ноября 2025 года. Минимум в день инцидента оставил токен примерно на 97% ниже этого пика.

Avici Inc. — это американская компания, которая указывает адрес в Сан-Франциско на своем веб-сайте, в то время как ее политика конфиденциальности идентифицирует ее как корпорацию Делавэра. Платформа также предоставляет отдельные условия карты для клиентов из США, создавая прямую подверженность для соответствующих американских пользователей ее кошелька и услуг защищенной карты.

Компания привлекла 3,5 миллиона долларов через ограниченную продажу токенов MetaDAO в октябре 2025 года. Запись о сборе средств MetaDAO показывает, что 7352 участника внесли около 34,23 миллиона долларов, но Avici вернула около 89,8% обещанных USDC после применения лимита продажи.

Предложение оценивало AVICI в 0,35 доллара и оценивало проект примерно в 4,52 миллиона долларов на основе полной разбавленной оценки. Avici выпустила 10 миллионов токенов через продажу, что составляет около 77,5% от общего объема в 12,9 миллиона токенов.
Читать далее: Токенизированное золото становится продуктивным обеспечением в крипто-кредитовании, говорит Arch.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.