Um atacante esvaziou mais de US$ 653.000 de vaults de garantia de cartão na Avici, um neobank no Solana cuja própria documentação prometia que apenas a carteira do usuário poderia mover esse dinheiro.
O token Avici (AVICI) caiu cerca de 40% para $0,24 desde então. O valor retirado equivale a quase um quinto de todo o seu valor de mercado.
O que a exploração do Avici quebrou
Avici vende um cartão de crédito Visa lastreado em USDC. Os usuários bloqueiam a stablecoin em um contrato inteligente, e as despesas reduzem esse saldo. O cartão é emitido pela Third National, não pela Avici.
“Apenas a carteira do usuário pode sacar fundos do contrato de custódia após deduzir os gastos”, afirma a documentação da empresa, indicando quem detém as chaves.
Na sexta-feira, os vaults foram esvaziados de qualquer forma, com um tracker ao vivo contando US$ 653.548 retirados até a redação deste texto.
A autogestão estabeleceu quem não poderia retirar o dinheiro. Não removeu todos os caminhos privilegiados escritos no próprio programa. Essa lacuna é onde os fundos foram parar.
Pesquisadores on-chain dizem que o atacante enviou um pacote de assinatura manipulado, tornou-se administrador nas contas de garantia e depois realizou saques. A Avici não confirmou esse método.
Siga-nos no X para receber as últimas notícias assim que acontecerem
Por que isso não é um ataque ao tesouro
Cada cliente possui um contrato de custódia separado. Portanto, o dinheiro foi retirado conta por conta. Não havia um único fundo para esvaziar.
Sugere um padrão familiar, como quando um ataque à governança da Solana retirou US$ 20 milhões de um único tesouro do BONK DAO.
Tokens associados raramente ignoram tais incidentes, o que explica a queda de quase 40% do token AVICI. Da mesma forma, uma brecha na ponte enviou o token do Midnight a um mínimo recorde em julho.
Avici disse apenas que está ciente de um problema afetando os saques de saldo de cartão. Nenhum pós-mortem foi realizado.
A empresa não disse se os demais vaults ainda podem ser resgatados ou se o pagamento de cartões com a Third National está afetado.