Эксплуатация смарт-контракта, которая на короткое время выглядела как угроза для перспективного необанка на Solana, теперь порождает другой тип заголовков. Avici подтвердила полный возврат средств всем 1 685 пользователям, чьи балансы карт были затронуты взломом 28 августа, и рынок мгновенно отреагировал: токен BANKJ вырос более чем на 50% на этих новостях.
Это восстановление, хотя и резкое, происходит на фоне серьезного ущерба. Эксплуатация ущерба нанесла пострадавшим пользователям убытки в размере от 650 000 до 1 миллиона долларов в зависимости от используемого метода учета и временно снизила стоимость токена управления AVICI на 32–49%.
Что именно произошло 28 августа
Avici создана как небанковская финансовая платформа с самохранением на Solana. Основной продукт сочетает в себе карту Visa Signature со смарт-кошельками, которые хранят средства пользователя до момента завершения транзакции по карте в точке продажи.
Эксплуатация нарушила эту модель целенаправленным образом. Злоумышленники обнаружили уязвимости в трех операциях смарт-контракта: SubmitSignatures, AddCollateralAdmin и WithdrawCollateralAsset. Соединив эти операции вместе, они смогли получить неавторизованные административные права примерно над 1 100 обеспечительными аккаунтами, а затем опустошить их с помощью серии небольших выводов.
Основной причиной стала архитектурная упрощённая схема: смарт-контракты Avici использовали единственный не-multisig-правомочный механизм обновления, что означало, что компрометация одного ключа была достаточна для атакующему, чтобы повысить привилегии во всей системе.
Компания признала проблемы с выводом средств с карт сразу после взлома, подтвердив, что работает с партнерами для сдерживания ситуации. За этим последовали недели неопределенности для пользователей и падение стоимости токена, в результате которого рыночная капитализация AVICI снизилась до диапазона примерно от 2,8 до 4 миллионов долларов в своей низшей точке.
Обязательство по возврату средств и почему это важно
Полная компенсация 1 685 пользователям — это не простая задача для проекта, рыночная капитализация которого недавно составляла несколько миллионов долларов. Объявление свидетельствует о том, что Avici либо зарезервировала средства, либо получила внешнюю поддержку, либо и то, и другое, хотя компания не раскрыла подробности того, как будут финансироваться и обрабатываться возвраты.
Токен управления Avici и траектория до эксплуатации уязвимости
Avici запустила свой управляющий токен AVICI в октябре 2025 года через MetaDAO. Сбор средств был переполнен, и проект сохранил примерно 3,5 миллиона долларов, вернув большую часть обязательств, превысивших целевой показатель. Этот факт важен сейчас, поскольку указывает на то, что проект вошел в инцидент с значительными ресурсами казны, что может быть частью причины, делающей обязательство о полном возмещении правдоподобным.
Что это означает для DeFi и криптокарт на Solana
Инцидент с Avici подчеркивает риск, не свойственный только Avici: любой проект, использующий обновляемые контракты с единственным ключом, управляющим обновлениями, подвержен аналогичной уязвимости. Это относится к значительной части экосистемы Solana DeFi.
Для продуктов крипто-карт особенно высоки риски. Утечка, затрагивающая балансы карт, привязанных к Visa, — это не просто сбой смарт-контракта. Это сбой в контексте, где пользователи имели все основания ожидать надежности, подобной банковской.