Ağustos 28'deki sızıntıdan etkilenen 1.685 kullanıcının tüm bakiyeleri için tam iadeyi onaylayan bir akıllı sözleşme istismarı, umut verici bir Solana neobank'ı batırabilirmiş gibi görünen bir olaydan farklı bir başlık üretmeye başladı. BANKJ tokeni, bu haberle %50'nin üzerinde yükseldi.
Bu kurtarma, keskin olsa da, ciddi hasarların arka planında gerçekleşti. Saldırı, kullanılan muhasebe yöntemiyle 650.000 dolar ile 1 milyon dolar arasında bir kayıp yarattı ve AVICI yönetim tokeninin değerini geçici olarak %32 ile %49 arasında düşürdü.
28 Ağustos'ta aslında ne oldu
Avici, Solana üzerinde kurulan kendini koruyan bir neobank'tır. Ana ürün, Visa Signature kartını, kullanıcı fonlarını satış noktasında işlem çözümlenene kadar tutan akıllı cüzdanlarla birleştirir.
Saldırganlar, üç akıllı sözleşme işlemi olan SubmitSignatures, AddCollateralAdmin ve WithdrawCollateralAsset'te zafiyetler buldu. Bu işlemler bir araya getirilerek, yaklaşık 1.100 teminat hesabına yetkisiz yönetici hakları talep edip, bunları küçük çekimler serisiyle boşaltmayı başardılar.
Kök neden, bir mimari kısayoldu: Avici’nin akıllı sözleşmeleri, tek bir çok imzalı olmayan yükseltme yetkisi kullandı, bu da bir tek güvenliği ihlal edilmiş anahtarın, saldırganın sistemin genelinde yetkilerini yükseltmesi için yeterli olduğu anlamına geliyordu.
Şirket, ihlalden kısa bir süre sonra kart bakiyesi çekimleriyle ilgili sorunları kabul ederek, durumu kontrol altına almak için ortakları ile çalıştığını doğruladı. Bunun ardından kullanıcılar için haftalar süren belirsizlik ve AVICI'nın piyasa değeri en düşük noktada yaklaşık 2,8 milyon dolar ile 4 milyon dolar aralığına düşen bir token değeri çöküşü yaşandı.
İade taahhüdü ve neden önemli
Piyasa değeri yakın zamanda tek basamaklı milyonlar seviyesinde olan bir proje için 1.685 kullanıcının tamamen iade edilmesi kolay bir iş değildir. Duyuru, Avici'nin ya yedek rezervler ayırdığını, dış destek sağladığını ya da her ikisini birden yaptığını işaret etmektedir; ancak şirket, iadelerin nasıl finanse edileceğini veya işleme alınacağını kamuoyuna ayrıntılı olarak açıklamamıştır.
Avici'nin yönetim token'i ve ihlalden önceki yol haritası
Avici, Ekim 2025'te MetaDAO aracılığıyla AVICI yönetim token'ını piyasaya sürdü. Toplama süreci aşırı talep gördü ve proje, hedefini aşan taahhütlerin büyük bir kısmını iade ederken yaklaşık 3,5 milyon doları korudu. Bu detay şimdi önem kazanıyor çünkü proje, saldırıyı yaşadığında anlamlı bir kasa kaynağına sahipti; bu da tam iade taahhüdünün güvenilir olmasının bir parçası olabilir.
Bu, Solana DeFi ve kripto kart ürünleri için ne anlama geliyor
Avici olayı, Avici'ye özgü olmayan bir riski vurgulamaktadır: Yalnızca bir anahtarla yükseltmeleri kontrol edilen yükseltilebilir sözleşmeleri çalıştıran her proje, aynı zafiyetin bir versiyonunu taşır. Bu, Solana DeFi ekosisteminin anlamlı bir kısmını kapsar.
Kripto kart ürünlerinde özellikle, tipik bir DeFi protokolüne kıyasla riskler daha yüksektir. Visa ile bağlantılı kart bakiyelerini etkileyen bir ihlal, sadece bir akıllı sözleşme hatası değildir. Kullanıcıların banka düzeyinde güvenilirlik beklemesinin tamamen gerekçeli olduğu bir bağlamda bir başarısızlıktır.