Una explotación de seguridad basada en Solana ha expuesto más de $1 millón en fondos de usuarios, después de que un atacante supuestamente gastara solo $190 en gas antes de vaciar más de $670,000. Mientras tanto, el equipo de Avici ha reembolsado por completo a los usuarios afectados y añadió un 10% de cashback tras identificar y corregir el problema en el contrato.
Cómo el atacante usó $190 en gas para vaciar $670K
Según los datos en cadena, el atacante financió un nuevo monedero con aproximadamente $190 en USDC, principalmente para cubrir las tarifas de transacción. Después de permanecer inactivo durante aproximadamente tres horas, el monedero comenzó a interactuar con los contratos de tarjeta Solana de Avici a las 16:49 UTC.
El atacante luego comenzó a vaciar los saldos individuales de los usuarios. El primer lote importante de aproximadamente $576,000 fue transferido entre las 18:19 y las 18:34 UTC.
Retiros adicionales elevaron la cantidad total robada por encima de los $670,000, mientras el ataque continuaba a través de 8,857 transacciones.
Mientras el atacante continuaba accediendo a las cuentas de los usuarios, las pérdidas totales de la plataforma finalmente superaron los $1 millones.
Un error en el contrato expuso más de 1,100 cuentas
El atacante no ingresó al tesoro principal de Avici ni robó una clave de actualización. En cambio, la explotación apuntó a contratos individuales de saldo de tarjeta.
El problema involucró una firma y verificación de permisos desactualizadas en la infraestructura proporcionada por Rain, socio de emisión de tarjetas de Avici.
El atacante envió un paquete de firma especialmente creado, llamado AddCollateralAdmin, que le otorgó incorrectamente acceso de administrador a más de 1.100 cuentas de colateral de usuarios.
El atacante podría retirar fondos de esas cuentas una por una. Los datos en la cadena mostraron una retirada mediana de $24, mientras que la retirada más grande en la muestra fue de $5,268.
Avici reembolsa a los usuarios con un 10% de reembolso en efectivo
Avici dijo que ha actualizado el contrato de Solana afectado y no ha observado más actividad relacionada.
El equipo también confirmó que los saldos afectados se restauraron por completo, con un reembolso adicional del 10% sobre la cantidad retirada.
Si el saldo de tu tarjeta Solana fue retirado hace unas horas, hemos restaurado la cantidad completa y añadido un 10% de cashback sobre lo retirado.
Avici dijo que la explotación se limitó a los contratos de tarjetas de Solana que tenían saldos añadidos a través de su sistema de Top Up. Los monederos regulares de Solana y EVM, junto con los saldos de tarjetas EVM, onramps, offramps e intercambios, no se vieron afectados.
Mientras tanto, Avici dice que continúa monitoreando los contratos actualizados, mientras se pide a los usuarios que verifiquen sus saldos restaurados.