एक सोलाना-आधारित एविसी सुरक्षा दुरुपयोग ने एक हमलावर द्वारा केवल $190 की गैस खर्च करने के बाद $670,000 से अधिक उपयोगकर्ता धन को खाली कर दिया है। इसी बीच, एविसी टीम ने अब समस्या की पहचान करके और कॉन्ट्रैक्ट को ठीक करके प्रभावित उपयोगकर्ता को पूरी राशि वापस कर दी है और 10% कैशबैक भी जोड़ दिया है।
कैसे हमलावर ने $190 के गैस का उपयोग करके $670K खाली किया
ऑन-चेन डेटा के अनुसार, हमलावर ने लगभग $190 के USDC के साथ एक नया वॉलेट फंड किया, जो मुख्य रूप से लेनदेन शुल्क को कवर करने के लिए था। लगभग तीन घंटे तक निष्क्रिय रहने के बाद, वॉलेट ने 16:49 UTC पर Avici के Solana कार्ड कॉन्ट्रैक्ट्स के साथ बातचीत शुरू कर दी।
आक्रमणकारी ने फिर व्यक्तिगत उपयोगकर्ता शेष राशि निकालना शुरू कर दिया। पहला प्रमुख बैच, जो लगभग $576,000 का था, 18:19 और 18:34 UTC के बीच स्थानांतरित किया गया।
आगे की निकासी से निकाली गई कुल रकम $670,000 से अधिक हो गई, जबकि हमला 8,857 लेनदेनों में जारी रहा।
जैसे-जैसे हमलावर उपयोगकर्ता खातों में प्रवेश करता रहा, कुल प्लेटफॉर्म नुकसान अंततः 1 मिलियन डॉलर से अधिक हो गया।
एक कॉन्ट्रैक्ट दोष ने 1,100+ खाते उजागर किए
हमलावर ने अवीसी की मुख्य खजाना या अपग्रेड कुंजी में घुसपैठ नहीं की। इसके बजाय, दुरुपयोग व्यक्तिगत कार्ड-शेष अनुबंधों को लक्षित किया गया।
समस्या रेन, अवीसी के कार्ड जारीकर्ता साझेदार द्वारा प्रदान की गई बुनियादी ढांचे में एक अपडेट नहीं हुए सिग्नेचर और अनुमति जांच से संबंधित थी।
आक्रमणकारी ने एक विशेष रूप से बनाया गया सिग्नेचर बंडल, जिसे AddCollateralAdmin कहा जाता है, जिसने गलती से उन्हें 1,100 से अधिक उपयोगकर्ता संपार्श्विक खातों के प्रशासनिक एक्सेस की अनुमति दे दी।
आक्रमक फिर उन खातों से एक-एक करके विड्रॉ कर सकता था। ऑन-चेन डेटा ने दिखाया कि माध्यमिक विड्रॉ $24 था, जबकि नमूने में सबसे बड़ा विड्रॉ $5,268 था।
अवीचि उपयोगकर्ताओं को 10% कैशबैक के साथ रिफंड करता है
Avici ने कहा कि इसने प्रभावित Solana कॉन्ट्रैक्ट को अपडेट कर दिया है और आगे की कोई संबंधित गतिविधि नहीं देखी है।
टीम ने यह भी पुष्टि की कि प्रभावित बैलेंस को पूर्ण रूप से वापस कर दिया गया है, और निकाली गई रकम पर अतिरिक्त 10% कैशबैक दिया गया है।
यदि आपके सोलाना कार्ड की बैलेंस कुछ घंटे पहले निकाल ली गई थी, तो हमने पूरी रकम वापस कर दी है और निकाली गई रकम पर 10% कैशबैक जोड़ दिया है।
अविसी ने कहा कि दुरुपयोग केवल उन सोलाना कार्ड कॉन्ट्रैक्ट्स तक सीमित था जिनमें उनके टॉप अप सिस्टम के माध्यम से जोड़े गए शेष थे। सामान्य सोलाना और EVM वॉलेट, साथ ही EVM कार्ड शेष, ऑनरैम्प, ऑफरैम्प और स्वैप प्रभावित नहीं हुए।
जबकि, एविसी कहता है कि यह अद्यतन करारों का निरीक्षण जारी रख रहा है, जबकि उपयोगकर्ताओं से अपने पुनर्स्थापित शेष राशि की जांच करने का अनुरोध किया जा रहा है।