L'attaque d'Avici siphonne plus de 1 million de dollars aux utilisateurs de Solana

Une attaque en cours contre la plateforme de cartes crypto basée sur Solana, Avici, aurait siphonné plus de 1 million de dollars des comptes de garantie des utilisateurs tout en faisant chuter son jeton AVICI à un niveau historiquement bas. Résumé

• L'attaquant présumé détenait 10 005 SOL et environ 11 600 $ en stablecoins à un point de contrôle.
• Les enregistrements en chaîne ont montré des appels répétés qui ajoutaient un administrateur avant les retraits de garantie.
• Avici a reconnu un problème de retrait de solde de carte mais n'a pas confirmé la perte signalée.
• AVICI a chuté de 49,4 % en 24 heures et a atteint un niveau record de 0,2175 $.

L'attaquant d'Avici ajoute des administrateurs avant les retraits

Selon des rapports, l'attaquant présumé avait collecté 10 005,03 SOL, d'une valeur d'environ 1,07 million de dollars à 18h58 UTC, ainsi qu'environ 11 600 $ en USDC et USDT. Son analyse était basée sur les journaux de transaction de Solana et les données RPC recueillies pendant que l'attaque était encore en cours.

Le portefeuille a reçu son financement initial via deBridge à 13h40 UTC, lorsque 1,79 SOL est arrivé d'un autre réseau. Après être resté inactif pendant environ trois heures, l'adresse a effectué son premier appel impliquant les programmes d'Avici à 16h49:48 UTC.

Les journaux de transaction examinés par la publication ont montré le même processus en trois étapes à travers les comptes affectés. Tout d'abord, le portefeuille a appelé SubmitSignatures via le programme d'autorisation d'Avici dans une transaction qui utilisait également le programme de vérification de signature Ed25519 de Solana.
Vous pourriez également aimer : L'exploitation de CCC siphonne 117 000 $ après que l'attaquant cible le pool de liquidités BSC

Ensuite, l'attaquant a appelé AddCollateralAdmin sur le programme de garantie d'Avici, enregistrant un administrateur supplémentaire pour le compte de l'utilisateur. Un dernier appel WithdrawCollateralAsset a ensuite transféré la garantie vers un compte contrôlé par l'attaquant.

Dans une transaction examinée, l'instruction de retrait a déplacé 2 346,77 USDT d'un compte de garantie d'utilisateur. L'attaquant a également converti certains des stablecoins collectés en SOL, y compris un échange qui a retourné 209,76 SOL.

Au moment du point de contrôle de la publication, le portefeuille avait signé 14 672 transactions, dont 2 344 avaient échoué. Ses avoirs en SOL ont augmenté d'environ 2 595 jetons, valant alors environ 277 000 $, pendant une période de 11 minutes.

L'analyste anonyme en chaîne STACC a également créé un tracker en direct pour les transferts affectés. Selon les chiffres cités par le tracker, 125 comptes expéditeurs avaient été identifiés, avec des transferts individuels allant d'environ 9 USDC à plus de 26 000 USDT.

Ni Avici ni une société de sécurité indépendante n'ont publié d'analyse post-mortem identifiant comment l'attaquant a obtenu l'autorisation. Bien que la séquence de transactions montre comment les fonds ont été déplacés, elle n'établit pas si l'incident était dû à un défaut de programme, des identifiants compromis, une autorité de signature exposée ou un autre échec.

Avici confirme un problème de retrait de carte

Avici a reconnu l'incident dans un post sur X publié environ une heure et 53 minutes après la première transaction signalée impliquant ses programmes.

"Nous sommes conscients d'un problème affectant les retraits de solde de carte et surveillons de près la situation."

La société a ajouté qu'elle travaillait directement avec les partenaires concernés et fournirait des mises à jour une fois que plus d'informations seraient disponibles. Avici n'a pas qualifié l'incident d'exploitation, n'a pas confirmé combien avait été pris ni indiqué combien de clients étaient affectés.

Plusieurs autres questions restent également sans réponse, notamment si l'activité a cessé, si Avici a suspendu ses programmes et si les utilisateurs affectés recevront une compensation. La société n'a pas divulgué si des clés de signature ou des comptes administratifs avaient été compromis.

Les utilisateurs avaient signalé des soldes manquants sur les réseaux sociaux avant qu'Avici ne publie sa déclaration. Un utilisateur a notamment déclaré que l'intégralité de son solde Avici avait été siphonné pendant qu'il attendait des informations de la part du projet.

L'incident concerne les programmes de garantie et d'autorisation de cartes d'Avici plutôt que le réseau Solana lui-même. Aucun rapport disponible n'a identifié de vulnérabilité dans la blockchain sous-jacente de Solana.

Selon les rapports, les deux programmes d'Avici étaient évolutifs et partageaient la même autorité de mise à niveau. L'autorité était apparemment un compte standard de Solana plutôt qu'un compte multisignature, bien qu'aucune preuve n'ait encore montré que l'autorité de mise à niveau ait causé ou permis les retraits.

Les contrôles opérationnels ont reçu une attention accrue alors que les attaques vont au-delà des défauts contenus dans le code des contrats intelligents. En juillet, crypto.news a rapporté des résultats de sécurité montrant que des clés, des signataires et des infrastructures compromis représentaient 88,3 % des environ 764 millions de dollars volés au cours du deuxième trimestre de 2026. Le rapport Hacken cité dans l'article a révélé que seulement 4 % des projets suivis combinaient des audits, des primes de bogues actives et une surveillance tierce.

L'attaque d'Avici remet en question ses revendications d'auto-garde

Avici décrit son produit comme un portefeuille auto-géré connecté à une carte de crédit Visa sécurisée. Son annonce sur l'App Store d'Apple indique que les utilisateurs restent en contrôle et qu'Avici ne détient jamais leurs fonds.

Dans le modèle de carte, les clients déposent des cryptomonnaies dans des comptes de garantie et reçoivent une limite de crédit correspondante. Les achats réduisent le solde disponible de la carte, tandis que la garantie associée est ensuite utilisée pour le règlement.

La capacité signalée d'ajouter un autre administrateur et de retirer des garanties non dépensées soulève des questions sur la manière dont les contrôles d'autorisation d'Avici appliquent son modèle d'auto-garde annoncé. Une découverte technique nécessitera qu'Avici ou une entreprise de sécurité indépendante explique pourquoi les soumissions de signature de l'attaquant ont été acceptées.

La documentation d'Avici identifie Rain comme un partenaire impliqué dans son service de carte. Rain fournit une infrastructure de paiement en stablecoin et travaille avec des institutions licenciées pour émettre des cartes connectées à Visa et Mastercard. L'analyse des transactions disponibles pointe vers les programmes Solana d'Avici, et ni Avici ni Rain n'ont déclaré que les systèmes de Rain ou de Visa avaient été compromis.

La distinction est importante pour les utilisateurs car un produit de paiement auto-géré est censé garder les actifs non dépensés sous le contrôle du propriétaire du portefeuille. Tangem a introduit un modèle similaire en novembre 2025, avec des dépenses en USDC sur la chaîne via une carte Visa virtuelle tout en permettant aux utilisateurs de conserver la garde de leurs fonds.

L'infrastructure de paiement a également été confrontée à des incidents liés à des portefeuilles distincts. En juillet, des analystes de la chaîne ont identifié des sorties suspectes dépassant 9,7 millions de dollars provenant de portefeuilles liés au fournisseur de paiement en stablecoin Triple-A à travers des réseaux incluant Solana, Ethereum, TRON et TON. Triple-A n'avait pas confirmé si les actifs des clients étaient impliqués lorsque le rapport a été publié.

AVICI chute de 49 % à un niveau record

AVICI a chuté de 49,4 % en 24 heures pour atteindre 0,2175 $ alors que les rapports sur les retraits se propageaient, selon les données de CoinGecko citées à l'époque. La vente a réduit la capitalisation boursière du jeton à environ 2,84 millions de dollars et a poussé son prix à un niveau record.

Le volume des échanges a atteint environ 656 543 $ pendant la même période de 24 heures. La plupart des échanges d'AVICI ont eu lieu via le market maker automatisé futarchy de MetaDAO, tandis que LBank, KCEX et MEXC ont représenté le reste de l'activité rapportée.

CoinGecko répertorie le record d'AVICI à 7,56 $, atteint le 26 novembre 2025. Le bas du jour de l'incident a laissé le jeton environ 97 % en dessous de ce pic.

Avici Inc. est une entreprise américaine qui indique une adresse à San Francisco sur son site web, tandis que sa politique de confidentialité l'identifie comme une société du Delaware. La plateforme fournit également des conditions de carte distinctes pour les clients américains, créant une exposition directe pour les utilisateurs américains éligibles de ses services de portefeuille et de carte sécurisée.

La société a levé 3,5 millions de dollars grâce à une vente de jetons MetaDAO plafonnée en octobre 2025. Le record de collecte de fonds de MetaDAO montre que 7 352 contributeurs ont engagé environ 34,23 millions de dollars, mais Avici a retourné environ 89,8 % des USDC promis après avoir appliqué le plafond de vente.

L'offre a fixé le prix de l'AVICI à 0,35 $ et a valorisé le projet à environ 4,52 millions de dollars sur une base entièrement diluée. Avici a émis 10 millions de jetons lors de la vente, représentant environ 77,5 % de son approvisionnement total de 12,9 millions de jetons.
Lire la suite : L'or tokenisé devient un collatéral productif dans le prêt crypto, selon Arch.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.