Güncellenmemiş bir Rain kart sözleşmesindeki bir güvenlik açığı, birkaç Solana tabanlı programda yaklaşık 1,1 milyon dolarlık bir kayba neden oldu, 1.685 Avici kullanıcısından 500.800 dolar alarak neobank'ın AVICI token'ını %49'a kadar düşürdü.
AVICI — kullanıcıların kripto varlıklarını Visa ile entegre edilmiş bir kredi kartı ile harcama imkanı sağlayan kendini yöneten bir neobank — 24 saatlik yüksek seviyesinden 0,43 USD’den, kayda geçen en düşük seviye olan 0,217 USD’ye düştü ve yazım anında yaklaşık 0,378 USD’ye geri döndü.
Tria, başka bir kripto neobank, 636 kullanıcının etkilendiğini ve kayıpların 430.000 doları geçtiğini bildirdi. Tokeni bir anda %10’dan fazla düştüğü halde, kullanıcıları tam olarak geri ödeme taahhüdünde bulundu.
Avici, saldırının müşterilerin kartlarını yükledikten sonra fonları tutan bir Solana sözleşmesine sınırlı olduğunu söyledi. Solana ve Ethereum uyumlu ağlardaki kendini yönetmeli cüzdanları etkilenmedi ve şirket, etkilenen her kart bakiyesinin iade edileceğini açıkladı.
Rain, Avici ve diğer birkaç küçük program tarafından kullanılan eski bir sözleşme sürümünde zafiyeti tespit etti. Bu sürümü kullanan tüm programları güncelledi ve daha fazla yetkisiz aktivite raporlamadı.
Avici'nin şartları tanımlar Üçüncü Ulusal'ı kart veren olarak, Rain ise bir Visa ana üyesi olarak temel stablecoin kart altyapısını sağlar.
İşlem verileri, saldırganın imzalı bir yetkiyi tekrar tekrar gönderdiğini, bireysel kart-teminat hesaplarına kendisini yönetici olarak eklediğini ve bakiyelerini çektiğini gösteriyor. Çalınan stablecoin'ler, solana (SOL) ile değiştirildi, ethereum'a köprülendi ve nihayetinde kripto karıştırıcı Tornado Cash üzerinden gönderildi.
Chain üzerinde izlenen yaklaşık 1,1 milyon dolarlık fark ve Avici'nin bildirdiği kayıp, diğer Rain tabanlı programların da etkilendiğini göstermektedir.
Hiçbir şirket bu programları tanımlamadı ya da her birinin kaybettiği toplam miktarı açıklamadı.
Olay, bazı kendi kontrolündeki kripto kartların saklama devralma sürecini ortaya koyuyor. Kullanıcılar, Avici cüzdanlarında tutulan paraları kontrol ediyordu, ancak harcama için yüklenen fonlar bir üçüncü taraf sözleşmesine aktarıldı.
Bu ayrım, Temmuz ayında takip edilen kripto kart harcamaları 1,04 milyar dolara üç katından fazla arttıkça daha da önemli hale geliyor; stablecoin'ler, 10 milyondan fazla işlemın %70'ini finanse etti.
Avici, Federal Investigation Bürosu'nun İnternet Suçları Şikayet Merkezi'ne bir rapor sunduğunu söyledi. İadelerin ne zaman ulaşacağı veya nasıl finanse edileceği söylenmedi.