Un attaquant a vidé plus de 653 000 $ des coffres de garantie par carte chez Avici, une néobanque sur Solana dont la propre documentation affirmait que seule le wallet de l'utilisateur pouvait jamais déplacer ces fonds.
Le token Avici (AVICI) a depuis chuté d'environ 40 % à 0,24 $, soit une somme prélevée équivalente à près d'un cinquième de sa valeur marchande totale.
Ce que l'exploit Avici a rompu
Avici propose une carte de crédit Visa garantie par USDC. Les utilisateurs bloquent la stablecoin dans un contrat intelligent, et les dépenses en réduisent le solde. La carte est émise par Third National, et non par Avici.
« Seul le wallet de l'utilisateur peut retirer les fonds du contrat de dépôt après déduction des dépenses », indique la documentation de l'entreprise, ce qui précise qui détient les clés.
Vendredi, les coffres se sont vidés de toute façon, avec un tracker en direct comptabilisant 653 548 $ retirés à l'écriture de ces lignes.
La auto-gestion a déterminé qui ne pouvait pas retirer l'argent. Elle n'a pas supprimé chaque chemin privilégié intégré dans le programme lui-même. Cette faille est là où les fonds ont disparu.
Les chercheurs sur la chaîne affirment que l'attaquant a soumis un ensemble de signatures falsifiées, s'est attribué les droits d'administrateur sur les comptes séquestre, puis a effectué un retrait. Avici n'a pas confirmé cette méthode.
Suivez-nous sur X pour recevoir les dernières actualités dès leur publication
Pourquoi ce n'est pas un piratage de trésorerie
Chaque client détient un contrat de dépôt séparé. Ainsi, l'argent a été retiré compte par compte. Il n'existait pas de fond unique à vider.
Cela suggère un schéma familier, comme lorsqu'une attaque de gouvernance Solana a retiré 20 millions de dollars d'un trésor BONK DAO en une seule opération.
Les tokens associés rares sont les à ignorer de tels incidents, ce qui explique pourquoi le token AVICI a chuté de près de 40 %. De la même manière, une faille de pont a envoyé le token de Midnight à un plus bas historique en juillet.
Avici a seulement déclaré être au courant d'un problème affectant les retraits de solde sur carte. Aucun bilan n'a suivi.
L'entreprise n'a pas indiqué si les autres coffres peuvent toujours être réclamés ou si le règlement des cartes avec Third National est affecté.