ثغرة أمنية في عقد بطاقة Rain القديم سحبت حوالي 1.1 مليون دولار عبر عدة برامج مبنية على سولانا، بما في ذلك 500,800 دولار من 1,685 مستخدمًا من Avici، مما أدى إلى انخفاض رمز neobank AVICI بنسبة تصل إلى 49%.
AVICI — وهي بنك رقمي ذاتي التحكم يمكّن المستخدمين من إنفاق عملاتهم المشفرة عبر بطاقة ائتمان متكاملة مع Visa — انخفض من أعلى مستوى خلال 24 ساعة عند 0.43 دولار إلى أدنى مستوى قياسي عند 0.217 دولار قبل أن يتعافى إلى حوالي 0.378 دولار في وقت كتابة هذا التقرير.
أفادت Tria، وهي بنك رقمي للعملات المشفرة آخر، أن 636 مستخدمًا تأثروا، مما أدى إلى خسائر إجمالية تزيد عن 430,000 دولار. وتعهدت بسداد المستخدمين بالكامل، حتى مع انخفاض رمزها بأكثر من 10% في نقطة ما.
قال أفيشي إن الهجوم كان مقتصرًا على عقد سولانا يحتفظ بالأموال بعد إعادة شحن العملاء لبطاقاتهم. لم تتأثر محافظهم الذاتية التحكم على شبكتي سولانا وشبكات متوافقة مع إيثريوم، وقالت الشركة إن رصيد كل بطاقة متأثرة سيتم استرداده.
قال رين إن مراقبته كشفت الثغرة في إصدار قديم من العقد المستخدم من قبل Avici وعدة برامج أخرى قليلة. وقد قام بترقية جميع البرامج التي تعمل على هذا الإصدار وأبلغ عن عدم حدوث أي نشاط غير مصرح به إضافي.
تشير شروط Avici إلى الثالث الوطني كجهة إصدار البطاقة، بينما توفر Rain، وهي عضو رئيسي في Visa، البنية التحتية الأساسية لبطاقة العملة المستقرة.
تُظهر بيانات المعاملة أن المهاجم قام بإرسال تفويض موقّع متكرر، وأضاف نفسه كمسؤول على حسابات الضمان الفردية، وسحب أرصدة هذه الحسابات. تم تبديل العملات المستقرة المسروقة إلى سولانا (SOL)، ثم نُقلت إلى إيثريوم وأُرسلت في النهاية عبر مُخلط العملات المشفرة Tornado Cash.
الفرق بين الـ 1.1 مليون دولار تقريبًا التي تم تتبعها على السلسلة وخسارة أفيشي المبلغة يشير إلى أن برامج أخرى مدعومة بـ Rain تعرضت أيضًا للهجوم.
لم تحدد أي من الشركتين تلك البرامج أو كشفت عن المبلغ الإجمالي الذي خسرته كل منهما.
يكشف الحادث عن نقل المسؤولية عن الحفظ وراء بعض بطاقات التشفير ذاتية الحفظ. كان المستخدمون يسيطرون على الأموال المخزنة في محافظ Avici، لكن الأموال المحملة للإنفاق انتقلت إلى عقد طرف ثالث.
يصبح هذا التمييز أكثر أهمية مع زيادة إنفاق بطاقات العملات المشفرة المتعقبة بأكثر من ثلاثة أضعاف إلى 1.04 مليار دولار في يوليو، حيث مولت العملات المستقرة 70% من أكثر من 10 ملايين معاملة.
قال أفيشي إنه قدم تقريرًا إلى مركز شكاوى الجرائم الإلكترونية التابع لمكتب التحقيقات الفيدرالي. لم يُذكر متى ستصل المبالغ المستردة أو كيف سيتم تمويلها.