Sebuah kerentanan dalam kontrak Rain card yang usang menguras kira-kira $1.1 juta merentas beberapa program berdasarkan Solana, termasuk $500,800 dari 1,685 pengguna Avici, menyebabkan token AVICI neobank itu turun sehingga 49%.
AVICI — sebuah neobank swasta yang membolehkan pengguna mengeluarkan crypto melalui kad kredit yang terintegrasi dengan Visa — jatuh dari tertinggi 24 jam sebanyak $0.43 kepada rekod terendah sebanyak $0.217 sebelum pulih kepada sekitar $0.378 pada masa penulisan.
Tria, neobank kripto lain, melaporkan bahawa 636 pengguna terjejas, mengakibatkan kerugian berjumlah lebih daripada $430,000. Ia berjanji untuk membayar balik pengguna sepenuhnya, walaupun token-nya jatuh lebih daripada 10% pada satu ketika.
Avici mengatakan serangan itu terhadap kontrak Solana yang menyimpan dana selepas pelanggan mengisi semula kad mereka. Dompet milik sendiri di atas rangkaian Solana dan Ethereum-compatibel tidak terjejas, dan syarikat tersebut mengatakan semua baki kad yang terjejas akan dipulangkan.
Rain mengatakan pemantauannya mengenal pasti kelemahan dalam versi kontrak usang yang digunakan oleh Avici dan sejumlah kecil program lain. Ia meningkatkan semua program yang menjalankan versi tersebut dan melaporkan tiada aktiviti tidak sah lanjut.
Terma Avici menyenaraikan Third National sebagai penerbit kad, manakala Rain, seorang ahli prinsipal Visa, menyediakan infrastruktur kad koin stabil yang mendasarinya.
Data transaksi menunjukkan penyerang berulang kali menghantar pengesahan yang ditandatangani, menambahkan dirinya sebagai pentadbir kepada akaun-akaun jaminan kad individu, dan menarik balik baki mereka. Koin stabil yang dicuri ditukar menjadi solana (SOL), dibawa ke ethereum dan akhirnya dihantar melalui pencampur kripto Tornado Cash.
Perbezaan antara kira-kira $1.1 juta yang dilacak secara onchain dan kerugian yang dilaporkan oleh Avici menunjukkan bahawa program-program berkuasa Rain lain juga diserang.
Tiada syarikat pun mengenal pasti program-program tersebut atau mengungkapkan jumlah keseluruhan yang hilang oleh setiap satu.
Insiden ini mendedahkan serah terima penjagaan di sebalik beberapa kad kripto swa-penjagaan. Pengguna mengawal dana yang dipegang dalam dompet Avici, tetapi dana yang dimuatkan untuk perbelanjaan dipindahkan ke kontrak pihak ketiga.
Perbezaan itu menjadi lebih penting apabila perbelanjaan kad kripto yang dilacak meningkat lebih daripada tiga kali ganda kepada $1.04 bilion pada Julai, dengan koin stabil membiayai 70% daripada lebih daripada 10 juta transaksi.
Avici mengatakan ia telah mengemukakan laporan kepada Pusat Keluhan Jenayah Internet Bahagian FBI. Tidak dinyatakan bila bayaran balik akan tiba atau bagaimana ia akan dibiayai.