Eksploitasi kontrak pintar yang sempat tampak seperti bisa menghancurkan sebuah neobank Solana yang menjanjikan kini menghasilkan headline yang berbeda. Avici telah mengonfirmasi pengembalian dana penuh untuk semua 1.685 pengguna yang saldo kartunya terdampak oleh pelanggaran pada 28 Agustus, dan pasar merespons segera: token BANKJ melonjak lebih dari 50% setelah berita ini.
Pemulihan itu, meskipun tajam, terjadi di tengah latar belakang kerusakan serius. Eksploitasi tersebut merugikan pengguna yang terdampak antara $650.000 hingga $1 juta, tergantung metode akuntansi yang Anda gunakan, dan sementara itu menghapus nilai token tata kelola AVICI sebesar 32% hingga 49%.
Apa yang sebenarnya terjadi pada 28 Agustus
Avici dibangun sebagai neobank self-custodial di Solana. Produk intinya menggabungkan kartu Visa Signature dengan dompet pintar yang menyimpan dana pengguna hingga saat transaksi kartu diselesaikan di titik penjualan.
Eksploitasi tersebut merusak model tersebut secara terarah. Penyerang menemukan kerentanan dalam tiga operasi kontrak pintar: SubmitSignatures, AddCollateralAdmin, dan WithdrawCollateralAsset. Dengan menggabungkan operasi-operasi tersebut, mereka mampu mengklaim hak admin yang tidak sah atas sekitar 1.100 akun jaminan, lalu menarik dana mereka melalui serangkaian penarikan kecil.
Akar masalahnya adalah jalan pintas arsitektural: kontrak pintar Avici menggunakan otoritas pembaruan tunggal yang tidak multisig, artinya satu kunci yang dikompromikan sudah cukup bagi penyerang untuk meningkatkan hak akses di seluruh sistem.
Perusahaan mengakui masalah dengan penarikan saldo kartu segera setelah pelanggaran, mengonfirmasi bahwa mereka bekerja sama dengan mitra untuk menahan situasi tersebut. Yang mengikuti adalah minggu-minggu ketidakpastian bagi pengguna dan jatuhnya nilai token yang menurunkan kapitalisasi pasar AVICI ke kisaran sekitar $2,8 juta hingga $4 juta pada titik terendahnya.
Komitmen pengembalian dana dan mengapa hal ini penting
Pengembalian penuh kepada 1.685 pengguna bukanlah tugas sepele bagi proyek yang kapitalisasi pasarnya baru-baru ini berada di kisaran jutaan dolar tunggal. Pengumuman tersebut menandakan bahwa Avici either memiliki cadangan yang disisihkan, mendapatkan dukungan eksternal, atau keduanya, meskipun perusahaan belum secara terbuka merinci mekanisme bagaimana pengembalian dana akan didanai atau diproses.
Token tata kelola Avici dan trajektori pra-eksploitasi
Avici meluncurkan token tata kelola AVICI pada Oktober 2025 melalui MetaDAO. Penggalangan dana melebihi target, dan proyek ini mempertahankan sekitar $3,5 juta sambil mengembalikan sebagian besar komitmen yang melebihi targetnya. Detail ini penting sekarang karena menunjukkan bahwa proyek memasuki eksploitasi dengan sumber daya kas yang signifikan, yang mungkin menjadi bagian dari alasan mengapa komitmen pengembalian penuh terdengar kredibel.
Apa artinya ini bagi DeFi Solana dan produk kartu kripto
Insiden Avici menyoroti risiko yang tidak unik bagi Avici: setiap proyek yang menjalankan kontrak yang dapat ditingkatkan dengan satu kunci yang mengendalikan pembaruan membawa versi kerentanan yang sama. Hal ini mencakup sebagian signifikan dari ekosistem Solana DeFi.
Untuk produk kartu kripto secara khusus, risikonya lebih tinggi daripada protokol DeFi biasa. Pelanggaran yang memengaruhi saldo kartu yang terhubung dengan Visa bukan hanya kegagalan kontrak pintar. Ini adalah kegagalan dalam konteks di mana pengguna memiliki alasan kuat untuk mengharapkan keandalan seperti bank.