Eksploit keamanan Avici berbasis Solana telah mengekspos lebih dari $1 juta dana pengguna, setelah penyerang dilaporkan menghabiskan hanya $190 untuk gas sebelum menarik lebih dari $670.000. Sementara itu, tim Avici kini telah mengembalikan dana pengguna yang terdampak secara penuh dan menambahkan cashback 10% setelah mengidentifikasi dan memperbaiki masalah kontrak.
Bagaimana Penyerang Menggunakan $190 dalam Gas untuk Menarik $670K
Menurut data on-chain, penyerang membiayai dompet baru dengan sekitar $190 dalam USDC, terutama untuk menutupi biaya transaksi. Setelah tidak aktif selama sekitar tiga jam, dompet tersebut mulai berinteraksi dengan kontrak kartu Solana Avici pada pukul 16:49 UTC.
Penyerang kemudian mulai menguras saldo pengguna individu. Sejumlah besar pertama sekitar $576.000 dipindahkan antara pukul 18:19 dan 18:34 UTC.
Penarikan lebih lanjut mendorong jumlah total yang dicuri melebihi $670.000, sementara serangan berlanjut melalui 8.857 transaksi.
Saat penyerang terus mengakses akun pengguna, kerugian total platform akhirnya melebihi $1 juta.
Satu Kelemahan Kontrak Mengekspos 1.100+ Akun
Penyerang tidak masuk ke kas utama Avici atau mencuri kunci upgrade. Sebaliknya, eksploitasi menargetkan kontrak saldo kartu individu.
Masalah tersebut melibatkan tanda tangan dan pemeriksaan izin yang usang dalam infrastruktur yang disediakan oleh Rain, mitra penerbit kartu Avici.
Penyerang mengirimkan sekelompok tanda tangan yang dibuat khusus, disebut AddCollateralAdmin, yang secara salah memberikan akses admin kepada lebih dari 1.100 akun jaminan pengguna.
Penyerang kemudian dapat menarik dana dari akun-akun tersebut satu per satu. Data on-chain menunjukkan penarikan median sebesar $24, sementara penarikan terbesar dalam sampel adalah $5.268.
Avici Mengembalikan Dana Pengguna dengan Cashback 10%
Avici mengatakan telah memperbarui kontrak Solana yang terdampak dan tidak melihat aktivitas terkait lebih lanjut.
Tim juga mengonfirmasi bahwa saldo yang terdampak telah dipulihkan sepenuhnya, dengan tambahan cashback 10% pada jumlah yang ditarik.
Jika saldo kartu Solana Anda ditarik beberapa jam yang lalu, kami telah mengembalikan seluruh jumlah dan menambahkan cashback 10% dari jumlah yang ditarik.
Avici mengatakan eksploitasi tersebut terbatas pada kontrak kartu Solana yang memegang saldo yang ditambahkan melalui sistem Top Up-nya. Dompet Solana dan EVM reguler, serta saldo kartu EVM, onramp, offramp, dan swap, tidak terdampak.
Sementara itu, Avici menyatakan terus memantau kontrak yang diperbarui sambil meminta pengguna untuk memeriksa saldo mereka yang telah dipulihkan.