Sebuah kerentanan dalam kontrak Rain card yang usang menguras sekitar $1,1 juta di berbagai program berbasis Solana, termasuk $500.800 dari 1.685 pengguna Avici, menyebabkan token AVICI neobank tersebut turun hingga 49%.
AVICI — sebuah neobank self-custodial yang memungkinkan pengguna menghabiskan crypto mereka melalui kartu kredit terintegrasi Visa — jatuh dari tertinggi 24 jam di $0,43 menjadi terendah rekam di $0,217 sebelum pulih menjadi sekitar $0,378 pada saat penulisan.
Tria, neobank kripto lainnya, melaporkan bahwa 636 pengguna terdampak, mengakibatkan kerugian total lebih dari $430.000. Perusahaan berjanji untuk membayar pengguna secara penuh, meskipun token-nya anjlok lebih dari 10% pada satu titik.
Avici mengatakan serangan tersebut terbatas pada kontrak Solana yang menampung dana setelah pelanggan mengisi ulang kartu mereka. Dompet self-custodialnya di jaringan Solana dan Ethereum-compatible tidak terdampak, dan perusahaan menyatakan setiap saldo kartu yang terdampak akan dikembalikan.
Rain mengatakan pemantauannya mengidentifikasi kerentanan dalam versi kontrak usang yang digunakan oleh Avici dan sejumlah kecil program lainnya. Itu meningkatkan semua program yang menjalankan versi tersebut dan tidak melaporkan aktivitas tidak sah lebih lanjut.
Syarat Avici menyebut Third National sebagai penerbit kartu, sementara Rain, seorang anggota utama Visa, menyediakan infrastruktur kartu stablecoin yang mendasarinya.
Data transaksi menunjukkan bahwa penyerang secara berulang mengirimkan otorisasi yang ditandatangani, menambahkan dirinya sendiri sebagai administrator ke akun-akun jaminan kartu individu, dan menarik saldo mereka. Stablecoin yang dicuri ditukar menjadi solana (SOL), dijembatani ke ethereum, dan akhirnya dikirim melalui crypto mixer Tornado Cash.
Perbedaan antara sekitar $1,1 juta yang dilacak secara onchain dan kerugian yang dilaporkan Avici menunjukkan bahwa program-program berbasis Rain lainnya juga ikut terdampak.
Tidak ada perusahaan yang mengidentifikasi program-program tersebut atau mengungkapkan jumlah total yang hilang masing-masing.
Insiden ini mengungkap serah terima penitipan di balik beberapa kartu kripto self-custodial. Pengguna mengendalikan dana yang disimpan di dompet Avici, tetapi dana yang dimuat untuk pengeluaran berpindah ke kontrak pihak ketiga.
Perbedaan tersebut menjadi lebih signifikan karena pengeluaran kartu kripto yang dilacak lebih dari tiga kali lipat menjadi $1,04 miliar pada Juli, dengan stablecoin membiayai 70% dari lebih dari 10 juta transaksi.
Avici mengatakan telah mengajukan laporan ke Pusat Keluhan Kejahatan Internet Federal Bureau of Investigation. Belum diungkapkan kapan pengembalian dana akan tiba atau bagaimana cara pembiayaannya.