Уязвимость в безопасности Avici на базе Solana привела к раскрытию более $1 млн пользовательских средств, после того как злоумышленник, по сообщениям, потратил всего $190 на газ, прежде чем вывести более $670 000. Тем временем команда Avici полностью возместила ущерб пострадавшему пользователю и добавила 10% кэшбэка после выявления и устранения проблемы в контракте.
Как злоумышленник использовал $190 на газ, чтобы вывести $670 000
Согласно данным в цепочке, атакующий пополнил новый кошелек примерно на 190 долларов США в USDC, главным образом для покрытия комиссий за транзакции. После периода неактивности около трех часов кошелек начал взаимодействовать с контрактами карты Avici на Solana в 16:49 UTC.
Затем злоумышленник начал сливать балансы отдельных пользователей. Первая крупная партия примерно в 576 000 долларов США была переведена между 18:19 и 18:34 по всемирному координированному времени.
Дальнейшие выводы увеличили общую сумму похищенных средств выше $670 000, в то время как атака продолжалась через 8 857 транзакций.
Пока злоумышленник продолжал получать доступ к аккаунтам пользователей, общие потери платформы в конечном итоге превысили 1 миллион долларов.
Один дефект контракта раскрыл более 1 100 аккаунтов
Злоумышленник не проник в главную казну Avici и не похитил ключ обновления. Вместо этого эксплуатация была направлена на контракты балансов отдельных карт.
Проблема была связана с устаревшей проверкой подписи и разрешений в инфраструктуре, предоставляемой Rain — партнером Avici по выпуску карт.
Злоумышленник отправил специально созданную подпись AddCollateralAdmin, которая неправильно предоставила ему административный доступ более чем к 1 100 пользовательским счетам залога.
Затем злоумышленник мог выводить средства с этих аккаунтов по одному. Данные в блокчейне показали медианный вывод в размере $24, а самый крупный вывод в выборке составил $5 268.
Avici возвращает пользователям 10% кэшбэка
Avici сказал, что обновил затронутый контракт Solana и не наблюдал дальнейшей связанной активности.
Команда также подтвердила, что затронутые балансы были полностью восстановлены, а также начислено дополнительное кэшбэк-вознаграждение в размере 10% от суммы вывода.
Если баланс вашей карты Solana был снят несколько часов назад, мы вернули всю сумму и добавили 10% кэшбэка на снятую сумму.
Avici заявил, что уязвимость затронула только контракты карт Solana, содержащие балансы, добавленные через систему Top Up. Обычные кошельки Solana и EVM, а также балансы карт EVM, системы покупки, продажи и обмена не были затронуты.
В то время как Avici сообщает, что продолжает отслеживать обновленные контракты, пользователям предлагается проверить свои восстановленные балансы.