Isang butas sa lumang kontrata ng Rain card ay nagbawas ng halos $1.1 milyon sa iba’t ibang programa batay sa Solana, kabilang ang $500,800 mula sa 1,685 mga gumagamit ng Avici, at nagdulot ng pagbaba ng hanggang 49% sa token na AVICI ng neobank.
AVICI — isang self-custodial neobank na nagpapahintulot sa mga gumagamit na mag-spent ng kanilang crypto gamit ang isang Visa-integrated credit card — bumaba mula sa 24-hour high na $0.43 patungo sa record low na $0.217 bago bumalik sa paligid ng $0.378 sa oras ng pagsusulat.
Tria, isa pang crypto neobank, ay nagsalaysay na 636 ang mga user na naapektuhan, na nagresulta sa mga pagkawala na higit sa $430,000. Nagsakripisyo ito na i-repay ang mga user nang buo, kahit na ang kanilang token ay bumaba ng higit sa 10% sa isang panahon.
Sinabi ni Avici na ang pag-atake ay limitado sa isang Solana contract na nagtatago ng pera pagkatapos ng pag-top up ng mga customer ng kanilang mga card. Ang kanilang sariling wallet sa Solana at mga network na compatible sa Ethereum ay hindi naapektuhan, at sinabi ng kumpanya na babalikin ang lahat ng balanse ng mga naapektuhanding card.
Sinabi ni Rain na ang kanilang pagmamasid ay nakakita ng vulnerability sa isang lumang bersyon ng contract na ginagamit ng Avici at sa isang maliit na bilang ng iba pang mga programa. I-upgrade nila ang lahat ng mga programa na tumatakbo sa bersyon na iyon at hindi nag-ulat ng karagdagang hindi awtorisadong aktibidad.
Ang mga termino ni Avici ay nakikilala ang Third National bilang issuer ng card, habang ang Rain, isang Visa principal member, ang nagbibigay ng pundasyon ng stablecoin card infrastructure.
Ipapakita ng data ng transaksyon na paulit-ulit na isinumite ng attacker ang sinagip na pahintulot, idinagdag ang sarili bilang administrator sa mga indibidwal na account na may collateral na card, at tinanggal ang kanilang balanse. Ang mga nakuha na stablecoin ay isinwap sa solana (SOL), binuksan sa ethereum at huling isinadul sa crypto mixer na Tornado Cash.
Ang pagkakaiba sa pagitan ng halos $1.1 milyong natukoy sa onchain at ang nareportang pagkawala ni Avici ay nagpapakita na ang iba pang mga programang Rain-powered ay nasira rin.
Hindi nakakatukoy ang parehong kumpanya sa mga programa na iyon o ipinahayag ang kabuuang amount na nawala ng bawat isa.
Ang insidente ay nagpapakita ng paghahatid ng pag-aalaga sa likod ng ilang self-custodial crypto card. Ang mga user ang nagkontrol sa pera na naka-hold sa Avici wallets, ngunit ang mga pondo na iniloload para sa pagbili ay napunta sa isang third-party contract.
Naging mas makabuluhan ang pagkakaiba na ito habang lumampas sa tatlong beses ang pagsasagawa ng crypto-card sa $1.04 bilyon noong Hulyo, kung saan ang mga stablecoin ang nagbigay-pondo sa 70% ng higit sa 10 milyong transaksyon.
Sinabi ni Avici na isinumite nito ang isang ulat sa Internet Crime Complaint Center ng Federal Bureau of Investigation. Hindi pa sinabi kailan darating ang mga refund o paano ito mapapagkakasya.