كشف استغلال أمني قائم على سولانا عن أكثر من مليون دولار من أموال المستخدمين، بعد أن أفادت التقارير أن المهاجم أنفق فقط 190 دولارًا على الغاز قبل سحب أكثر من 670,000 دولار. في غضون ذلك، قام فريق Avici برد الأموال للمستخدم المتأثر بالكامل وإضافة 10٪ من استرداد نقدي بعد تحديد وإصلاح مشكلة العقد.
كيف استخدم المهاجم 190 دولارًا في رسوم الغاز لسرقة 670 ألف دولار
وفقًا للبيانات على السلسلة، قام المهاجم بتمويل محفظة جديدة بحوالي 190 دولارًا أمريكيًا بعملة USDC، بشكل رئيسي لتغطية رسوم المعاملات. وبعد أن ظلت المحفظة غير نشطة لمدة ثلاث ساعات تقريبًا، بدأت المحفظة في التفاعل مع عقود بطاقة Solana الخاصة بـ Avici في 16:49 UTC.
ثم بدأ المهاجم في سحب أرصدة المستخدمين الفرديين. تم نقل الدفعة الأولى الكبرى البالغة حوالي 576,000 دولار بين 18:19 و18:34 بالتوقيت العالمي المنسق.
أدت عمليات سحب إضافية إلى رفع إجمالي المبلغ المسروق فوق 670,000 دولار، بينما استمر الهجوم عبر 8,857 معاملة.
مع استمرار المهاجم في الوصول إلى حسابات المستخدمين، تجاوز إجمالي خسائر المنصة مليون دولار.
كشف عيب واحد في العقد أكثر من 1,100 حساب
لم يخترق المهاجم الخزينة الرئيسية لـ Avici أو يسرق مفتاح ترقية. بدلاً من ذلك، استهدف الاستغلال عقود رصيد البطاقات الفردية.
كانت المشكلة تتعلق بتوقيع وإذن قديمين في البنية التحتية المقدمة من Rain، الشريك المُصدر للبطاقات لـ Avici.
قدم المهاجم مجموعة توقيعات مُنشأة خصيصًا، تُسمى AddCollateralAdmin، والتي منحته بشكل خاطئ وصولًا كمسؤول إلى أكثر من 1,100 حساب ضمان للمستخدمين.
ثم استطاع المهاجم سحب الأموال من تلك الحسابات واحدة تلو الأخرى. أظهرت البيانات على السلسلة متوسط سحب قدره 24 دولارًا، بينما كان أكبر سحب في العينة قدره 5,268 دولارًا.
إعادة أفيشي للمستخدمين مع استرداد نقدي بنسبة 10%
قال Avici إنه قام بتحديث العقد المتأثر في Solana ولم يلاحظ أي نشاط آخر ذي صلة.
كما أكد الفريق أن الأرصدة المتأثرة تم استعادتها بالكامل، مع عودة نقدية إضافية بنسبة 10% على المبلغ السحوب.
إذا تم سحب رصيد بطاقتك Solana قبل بضع ساعات، فقد أعدنا المبلغ الكامل وأضفنا 10% من العائد النقدي على المبلغ المسحب.
قال أفيشي إن الاستغلال كان محدودًا بعقود بطاقات Solana التي تحتوي على أرصدة أُضيفت من خلال نظام Top Up الخاص به. ولم تتأثر المحافظ العادية لـ Solana وEVM، بالإضافة إلى أرصدة بطاقات EVM، وقنوات الدخول والخروج والتحويلات.
في الوقت نفسه، تقول Avici إنها تواصل مراقبة العقود المحدثة بينما يُطلب من المستخدمين التحقق من أرصدة المستعادة.