Una explotación de contrato inteligente que inicialmente parecía poder hundir un prometedor neobanco en Solana ahora está generando un tipo diferente de titular. Avici ha confirmado reembolsos completos para los 1.685 usuarios cuyos saldos de tarjeta se vieron afectados por el incidente del 28 de agosto, y el mercado respondió inmediatamente: el token BANKJ aumentó más del 50% con la noticia.
Esa recuperación, aunque pronunciada, ocurre en un contexto de daños graves. La explotación costó a los usuarios afectados entre $650,000 y $1 millón, dependiendo del método contable que se utilice, y eliminó temporalmente entre el 32% y el 49% del valor del token de gobernanza AVICI.
¿Qué sucedió realmente el 28 de agosto?
Avici está construido como una neobanca con autoservicio en Solana. El producto principal combina una tarjeta Visa Signature con monederos inteligentes que mantienen los fondos del usuario hasta el momento en que se liquida una transacción con tarjeta en el punto de venta.
La explotación rompió ese modelo de manera dirigida. Los atacantes encontraron vulnerabilidades en tres operaciones de contratos inteligentes: SubmitSignatures, AddCollateralAdmin y WithdrawCollateralAsset. Al encadenar esas operaciones, pudieron reclamar derechos de administrador no autorizados sobre aproximadamente 1,100 cuentas de garantía y luego vaciarlas mediante una serie de retiros pequeños.
La causa raíz fue un atajo arquitectónico: los contratos inteligentes de Avici utilizaban una única autoridad de actualización que no era multisignatura, lo que significaba que una sola clave comprometida era todo lo que un atacante necesitaba para elevar sus privilegios en todo el sistema.
La empresa reconoció problemas con los retiros de saldo de tarjetas poco después del ataque, confirmando que trabajaba con socios para contener la situación. Lo que siguió fueron semanas de incertidumbre para los usuarios y una caída en el valor del token que redujo la capitalización de mercado de AVICI a un rango de aproximadamente $2.8 millones a $4 millones en su punto más bajo.
El compromiso de reembolso y por qué es importante
La restitución completa para 1,685 usuarios no es una tarea trivial para un proyecto cuya capitalización de mercado recientemente se situaba en los pocos millones bajos. El anuncio sugiere que Avici tenía reservas establecidas, obtuvo apoyo externo o ambos, aunque la empresa no ha detallado públicamente los mecanismos mediante los cuales se financiarán o procesarán los reembolsos.
El token de gobernanza de Avici y la trayectoria previa al exploit
Avici lanzó su token de gobernanza AVICI en octubre de 2025 a través de MetaDAO. La recaudación superó las expectativas, y el proyecto retuvo aproximadamente $3.5 millones, reembolsando la mayor parte de los compromisos que superaron su objetivo. Ese detalle es relevante ahora porque sugiere que el proyecto ingresó al exploit con recursos significativos en su tesorería, lo que podría ser parte de lo que hace creíble el compromiso de reembolso total.
Qué significa esto para el DeFi de Solana y los productos de tarjetas cripto
El incidente de Avici destaca un riesgo que no es exclusivo de Avici: cualquier proyecto que ejecute contratos actualizables con una sola clave que controle las actualizaciones presenta una versión de la misma vulnerabilidad. Esto incluye una parte significativa del ecosistema DeFi de Solana.
Para productos de tarjetas de criptomonedas específicamente, las apuestas son más altas que para un protocolo DeFi típico. Una brecha que afecte los saldos de tarjetas vinculadas a Visa no es solo un fallo de contrato inteligente. Es un fallo en un contexto donde los usuarios tenían toda razón para esperar confiabilidad similar a la bancaria.