Атака на Avici вивела понад 1 мільйон доларів з користувачів Solana

Атака на платформу Avici, що базується на криптовалюті Solana, за повідомленнями, вивела понад 1 мільйон доларів з рахунків застави користувачів, одночасно знизивши токен AVICI до рекордно низького рівня.

Резюме

• Підозрюваний нападник утримував 10,005 SOL та близько 11,600 доларів у стейблкоїнах на одному з контрольних пунктів.
• Записи в блокчейні показали повторні виклики, які додавали адміністратора перед зняттям застави.
• Avici визнала проблему з виведенням балансу картки, але не підтвердила повідомлені втрати.
• AVICI впав на 49,4% протягом 24 годин і досяг рекордно низького рівня 0,2175 долара.

Нападник Avici додає адміністраторів перед зняттями

Згідно з повідомленнями, підозрюваний нападник зібрав 10,005.03 SOL, вартістю близько 1,07 мільйона доларів на 18:58 UTC, разом з приблизно 11,600 доларами в USDC та USDT. Його аналіз базувався на журналах транзакцій Solana та даних RPC, зібраних під час атаки.

Гаманець отримав своє початкове фінансування через deBridge о 13:40 UTC, коли 1,79 SOL надійшло з іншої мережі. Після того, як залишався неактивним близько трьох годин, адреса зробила свій перший виклик, пов'язаний з програмами Avici, о 16:49:48 UTC.

Журнали транзакцій, переглянуті виданням, показали той самий трьохетапний процес на постраждалих рахунках. Спочатку гаманець викликав SubmitSignatures через авторизаційну програму Avici в транзакції, яка також використовувала програму перевірки підписів Ed25519 Solana.
Вам також може бути цікаво: експлуатація CCC вивела 117 тисяч доларів після атаки на ліквідний пул BSC

Далі нападник викликав AddCollateralAdmin у заставній програмі Avici, зареєструвавши додаткового адміністратора для рахунку користувача. Останній виклик WithdrawCollateralAsset потім перевів заставу на рахунок, контрольований нападником.

В одній з переглянутих транзакцій інструкція на зняття перемістила 2,346.77 USDT з рахунку застави користувача. Нападник також конвертував частину зібраних стейблкоїнів у SOL, включаючи один обмін, який повернув 209.76 SOL.

На момент перевірки видання гаманець підписав 14,672 транзакцій, з яких 2,344 зазнали невдачі. Його запаси SOL зросли приблизно на 2,595 токенів, які на той момент коштували близько 277,000 доларів, протягом 11-хвилинного періоду.

Анонімний аналітик блокчейну STACC також створив живий трекер для постраждалих переказів. Згідно з цифрами, наведеними з трекера, було ідентифіковано 125 відправників, з індивідуальними переказами від приблизно 9 USDC до понад 26,000 USDT.

Ні Avici, ні незалежна компанія з безпеки не опублікували звіт про те, як нападник отримав авторизацію. Хоча послідовність транзакцій показує, як переміщувалися кошти, вона не встановлює, чи стався інцидент через помилку програми, скомпрометовані облікові дані, відкриту авторизацію підпису чи іншу помилку.

Avici підтверджує проблему з виведенням карток

Avici визнала інцидент у пості в X, опублікованому приблизно через годину та 53 хвилини після першої повідомленої транзакції, пов'язаної з її програмами.

"Ми знаємо про проблему, що впливає на зняття балансу картки, і уважно стежимо за ситуацією."

Компанія додала, що працює безпосередньо з відповідними партнерами та надасть оновлення, як тільки з'явиться більше інформації. Avici не назвала інцидент експлуатацією, не підтвердила, скільки було вкрадено, або вказала, скільки клієнтів постраждало.

Кілька інших питань також залишаються без відповіді, включаючи, чи зупинилася активність, чи призупинила Avici свої програми, і чи отримають постраждалі користувачі компенсацію. Компанія не розкрила, чи були скомпрометовані які-небудь ключі підпису або адміністративні облікові записи.

Користувачі повідомляли про відсутні баланси в соціальних мережах до того, як Avici опублікувала свою заяву. Один користувач зазначив, що їхній весь баланс Avici був виведений, поки вони чекали інформації від проекту.

Інцидент стосується програм застави карток та авторизації Avici, а не самої мережі Solana. Жоден доступний звіт не вказав на вразливість у базовому блокчейні Solana.

Обидві програми Avici були оновлювальними та мали одну й ту ж авторизацію на оновлення, згідно з повідомленнями. Авторизація, як повідомляється, була стандартним обліковим записом Solana, а не мультипідписним обліковим записом, хоча жодних доказів поки що не було надано, що авторизація на оновлення спричинила або дозволила виведення коштів.

Операційні контролі отримали підвищену увагу, оскільки атаки виходять за межі недоліків, що містяться в коді смарт-контрактів. У липні crypto.news повідомив про результати безпеки, які показали, що скомпрометовані ключі, підписанти та інфраструктура становили 88,3% приблизно 764 мільйонів доларів, вкрадених протягом другого кварталу 2026 року. Звіт Hacken, згаданий у статті, виявив, що лише 4% відстежуваних проектів поєднували аудити, активні програми винагород за помилки та моніторинг з боку третіх осіб.

Атака Avici ставить під сумнів її заяви про самостійне зберігання

Avici описує свій продукт як самостійний гаманець, підключений до захищеної кредитної картки Visa. У списку в Apple App Store зазначено, що користувачі залишаються під контролем, і що Avici ніколи не тримає їхні кошти.

Згідно з моделлю картки, клієнти вносять криптовалюту на заставні рахунки та отримують відповідний кредитний ліміт. Покупки зменшують доступний баланс картки, тоді як відповідна застава пізніше використовується для розрахунків.

Повідомлена можливість додавання іншого адміністратора та видалення невитрачених застав викликає питання про те, як контролі авторизації Avici забезпечують її рекламовану модель самостійного зберігання. Технічне висновок вимагатиме від Avici або незалежної компанії з безпеки пояснити, чому підписи зловмисника були прийняті.

Документація Avici ідентифікує Rain як партнера, залученого до її карткової служби. Rain постачає інфраструктуру для платежів у стейблкоїнах і працює з ліцензованими установами для випуску карток, підключених до Visa та Mastercard. Доступний аналіз транзакцій вказує на програми Avici в Solana, і ні Avici, ні Rain не заявили, що системи Rain або Visa були скомпрометовані.

Це розрізнення важливе для користувачів, оскільки продукт для платежів з самостійним зберіганням повинен зберігати невитрачені активи під контролем власника гаманця. Tangem представила подібну модель у листопаді 2025 року, з витратами USDC в ланцюзі через віртуальну картку Visa, поки користувачі зберігали контроль над своїми коштами.

Інфраструктура платежів також стикалася з окремими інцидентами, пов'язаними з гаманцями. У липні аналітики в ланцюзі виявили підозрілі виведення, що перевищують 9,7 мільйона доларів, з гаманців, пов'язаних з постачальником платежів у стейблкоїнах Triple-A, через мережі, включаючи Solana, Ethereum, TRON та TON. Triple-A не підтвердила, чи були залучені активи клієнтів, коли звіт був опублікований.

AVICI впав на 49% до історичного мінімуму

AVICI впав на 49,4% за 24 години до 0,2175 долара, оскільки повідомлення про виведення поширилися, згідно з даними CoinGecko, на які посилалися в той час. Цей розпродаж зменшив ринкову капіталізацію токена до приблизно 2,84 мільйона доларів і знизив його ціну до рекордного мінімуму.

Обсяг торгів досяг приблизно 656 543 доларів протягом того ж 24-годинного періоду. Більшість торгів AVICI відбувалася через автоматизований маркет-мейкер MetaDAO, тоді як LBank, KCEX та MEXC становили решту звітної активності.

CoinGecko вказує, що рекордна ціна AVICI становила 7,56 долара, досягнута 26 листопада 2025 року. Мінімум у день інциденту залишив токен приблизно на 97% нижче цього піку.

Avici Inc. є американською компанією, яка вказує адресу в Сан-Франциско на своєму веб-сайті, тоді як її політика конфіденційності ідентифікує її як корпорацію Делавера. Платформа також надає окремі умови карток для американських клієнтів, створюючи прямий ризик для відповідних американських користувачів її гаманця та послуг захищених карток.

Компанія залучила 3,5 мільйона доларів через обмежений продаж токенів MetaDAO в жовтні 2025 року. Запис про залучення коштів MetaDAO показує, що 7352 учасники зобов'язалися приблизно на 34,23 мільйона доларів, але Avici повернула близько 89,8% обіцяного USDC після застосування обмеження продажу.

Пропозиція оцінила AVICI в 0,35 долара і оцінила проект приблизно в 4,52 мільйона доларів на повністю розведеній основі. Avici випустила 10 мільйонів токенів через продаж, що становить приблизно 77,5% її постачання в 12,9 мільйона токенів. Читати далі: Токенізоване золото стає продуктивним забезпеченням у крипто-кредитуванні, каже Arch

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.