Isang security exploit batay sa Solana ay nag-expose ng higit sa $1 milyon sa mga pondo ng mga user, pagkatapos ay sinabing ginastusan ng attacker ang halagang $190 bago ma-drain ang higit sa $670,000. Samantala, ang koponan ng Avici ay nag-refund na sa buong halaga sa apektadong user at nagdagdag ng 10% cashback pagkatapos makita at ayusin ang isyu sa contract.
Paano Ginamit ng Attacker ang $190 sa Gas upang I-drain ang $670K
Ayon sa on-chain data, sinugpo ng attacker ang isang bagong wallet ng halos $190 sa USDC, pangunahin upang takpan ang mga transaction fee. Pagkatapos na manatiling inactive sa loob ng halos tatlong oras, nagsimula ang wallet na makipag-ugnayan sa mga Solana card contract ni Avici sa 16:49 UTC.
Sinimulan ng attacker ang pagbawas ng mga balanse ng mga indibidwal na user. Ang unang malaking batch na halos $576,000 ay napalitan sa pagitan ng 18:19 at 18:34 UTC.
Lumampas sa $670,000 ang kabuuang amount na nasasakop ng mas maraming pagtarik, habang patuloy ang pag-atake sa 8,857 na transaksyon.
Habang patuloy na nag-aaccess ang attacker sa mga account ng user, lalong lumaki ang kabuuang pagkawala ng platform at higit na lumampas sa $1 milyon.
Isang Kamalian sa Contract ang Ipinakita ang 1,100+ na Account
Hindi sumabog ang attacker sa pangunahing kahon ng Avici o nakuha ang key para sa upgrade. Sa halip, tinarget ng exploit ang mga individual card-balance contracts.
Ang isyu ay naglalaman ng obsoletong signature at pagsusuri ng pahintulot sa infrastruktura na ibinigay ng Rain, kasamang nag-iisyu ng card ni Avici.
Ang attacker ay nagsumite ng isang espesyal na likha na bundle ng signature, tinatawag na AddCollateralAdmin, na nagbigay nang mali sa kanila ng admin access sa higit sa 1,100 mga user collateral account.
Maaari pagkatapos ay mag-withdraw ang attacker ng mga pondo mula sa mga account na iyon, isa-isa. Ipakita ng on-chain data na ang median na pag-withdraw ay $24, habang ang pinakamalaking pag-withdraw sa sample ay $5,268.
Binabayaran muli ni Avici ang mga user na may 10% cashback
Avici said ay nag-update na ng nasirang Solana contract at hindi nakakita ng karagdagang kaugnay na aktibidad.
Kinumpirma rin ng koponan na ibinalik ang buong mga balanse naapektuhan, kasama ang karagdagang 10% cashback sa amount na tarik.
Kung ang balanse ng iyong Solana card ay nalikom ilang oras na ang nakalipas, inibalik namin ang buong amount at idinagdag ang 10% cashback sa napaglabas.
Sinabi ni Avici na limitado ang exploit sa mga Solana card contract na may balanse na idinagdag sa pamamagitan ng kanyang Top Up system. Ang mga karaniwang Solana at EVM wallet, kasama ang EVM card balances, onramps, offramps at swaps, ay hindi naapektuhan.
Samantala, sinasabi ni Avici na patuloy niyang sinusubaybayan ang mga napapag-update na kontrata habang hinihingi sa mga user na i-check ang kanilang narestore na balanse.