Уязвимость в устаревшем контракте Rain-карты опустошила около $1,1 млн в нескольких программах на базе Solana, включая $500 800 от 1 685 пользователей Avici, что привело к падению токена AVICI необанка до 49%.
AVICI — самоконтролируемый необанк, позволяющий пользователям тратить свою криптовалюту через кредитную карту с интеграцией Visa — упал с 24-часового максимума в 0,43 доллара до рекордного минимума в 0,217 доллара, прежде чем восстановиться до примерно 0,378 доллара на момент написания.
Tria, еще один крипто-необанк, сообщила, что пострадали 636 пользователей, что привело к убыткам на сумму более $430 000. Она обязалась полностью погасить выплаты пользователям, даже несмотря на то, что ее токен в какой-то момент упал более чем на 10%.
Avici заявил, что атака ограничилась контрактом Solana, хранящим средства после пополнения карт клиентами. Его самоконтролируемые кошельки на сетях Solana и Ethereum-compatible не были затронуты, и компания заявила, что баланс каждой затронутой карты будет возвращен.
Rain сообщил, что его мониторинг выявил уязвимость в устаревшей версии контракта, используемой Avici и небольшим числом других программ. Он обновил все программы, использующие эту версию, и не зафиксировал дальнейшей несанкционированной активности.
Условия Avici указывают на Third National как на эмитента карты, в то время как Rain, основной участник Visa, предоставляет базовую инфраструктуру стейблкоин-карты.
Данные транзакций показывают, что злоумышленник многократно отправлял подписанную авторизацию, добавлял себя в качестве администратора в отдельные аккаунты с обеспечением картами и снимал их балансы. Украшенные стейблкоины были обменены на solana (SOL), переведены на ethereum и в конечном итоге отправлены через крипто-миксер Tornado Cash.
Разница между примерно 1,1 миллиона долларов, отслеженных в блокчейне, и заявленным ущербом Avici указывает на то, что другие программы на базе Rain также были затронуты.
Никакая из компаний не идентифицировала эти программы и не раскрыла общую сумму, которую каждая из них потеряла.
Инцидент раскрывает передачу управления средствами, лежащую в основе некоторых карт с самоконтролем криптовалют. Пользователи контролировали средства, хранящиеся в кошельках Avici, но средства, загруженные для расходов, переводились в контракт третьей стороны.
Это различие становится всё более значимым, поскольку траты с криптокарт выросли более чем в три раза до 1,04 млрд долларов в июле, причём стейблкоины финансировали 70% более чем 10 миллионов транзакций.
Avici заявила, что подала отчет в Центр приема жалоб на интернет-преступления Федерального бюро расследований. Не сообщалось, когда поступят возмещения или как они будут профинансированы.