Pengeksploitasian kontrak pintar yang kelihatan sebentar sahaja mampu menenggelamkan sebuah neobank Solana yang menjanjikan kini menghasilkan tajuk yang berbeza. Avici telah mengesahkan pengembalian penuh kepada semua 1,685 pengguna yang keseimbangan kad mereka terjejas akibat kebocoran pada 28 Ogos, dan pasaran merespons segera: token BANKJ melonjak lebih 50% berikutan berita ini.
Pemulihan itu, walaupun tajam, berlaku dalam konteks kerosakan serius. Eksploit itu merugikan pengguna yang terkesan antara $650,000 dan $1 juta, bergantung kepada kaedah perakaunan yang anda gunakan, dan secara sementara menghapuskan antara 32% hingga 49% nilai token tata tertib AVICI.
Apa yang sebenarnya berlaku pada 28 Ogos
Avici dibina sebagai neobank self-custodial di Solana. Produk utamanya menggabungkan kad Visa Signature dengan dompet pintar yang menyimpan dana pengguna sehingga transaksi kad diselesaikan di titik penjualan.
Eksploitasi itu merosakkan model tersebut dengan cara yang terarah. Penyerang menemui kelemahan dalam tiga operasi kontrak pintar: SubmitSignatures, AddCollateralAdmin, dan WithdrawCollateralAsset. Dengan menggabungkan operasi-operasi tersebut, mereka berjaya mengklaim hak pentadbir tanpa kebenaran ke atas kira-kira 1,100 akaun jaminan dan kemudian menarik dana daripadanya melalui serangkaian penarikan kecil.
Punca utama ialah jalan pintas arkaitektur: kontrak pintar Avici menggunakan satu kuasa pengemaskinian bukan multisig, bermakna satu kunci yang disusupi sudah cukup bagi penyerang untuk meningkatkan keistimewaan di seluruh sistem.
Syarikat mengakui masalah dengan penarikan saldo kad segera selepas kebocoran, mengesahkan bahawa ia sedang bekerja sama dengan rakan kongsi untuk mengawal situasi tersebut. Apa yang berikutan ialah berminggu-minggu ketidakpastian bagi pengguna dan kejatuhan nilai token yang membawa kapitalisasi pasaran AVICI turun ke julat kira-kira $2.8 juta hingga $4 juta pada titik terendahnya.
Komitmen pengembalian dana dan mengapa ia penting
Pemulihan penuh kepada 1,685 pengguna bukanlah usaha yang mudah bagi sebuah projek yang kapitalisasi pasarnya baru-baru ini berada di angka jutaan rendah. Pengumuman ini menandakan bahawa Avici either mempunyai simpanan yang disisihkan, mendapat sokongan luar, atau kedua-duanya, walaupun syarikat tersebut tidak menerangkan secara awam mekanisme bagaimana bayaran balik akan dibiayai atau diproses.
Token tata tertib Avici dan trajektori pra-penyalahgunaan
Avici melancarkan token tata tertib AVICI pada Oktober 2025 melalui MetaDAO. Pembiayaan tersebut melebihi sasaran, dan projek tersebut mengekalkan kira-kira $3.5 juta sambil mengembalikan sebahagian besar komitmen yang melebihi sasaran. Butiran ini penting kerana ia menunjukkan bahawa projek memasuki eksploit dengan sumber perbendaharaan yang bermakna, yang mungkin menjadi sebahagian daripada apa yang membuatkan komitmen pengembalian penuh boleh dipercayai.
Apa yang ini maksudkan untuk Solana DeFi dan produk kad kripto
Insiden Avici menonjolkan risiko yang bukan unik kepada Avici: sebarang projek yang menjalankan kontrak yang boleh ditingkatkan dengan kunci tunggal yang mengawal peningkatan membawa versi kerentanan yang sama. Ini termasuk sebahagian bermakna daripada ekosistem Solana DeFi.
Khusus untuk produk kad kripto, risikonya lebih tinggi berbanding protokol DeFi biasa. Pencurian yang menyentuh baki kad yang terkait dengan Visa bukan sekadar kegagalan kontrak pintar. Ia adalah kegagalan dalam konteks di mana pengguna mempunyai sebab yang cukup untuk mengharapkan kebolehpercayaan seperti bank.