Уразливість у застарілому контракті Rain card вивела приблизно $1,1 мільйона через кілька програм на Solana, включаючи $500 800 від 1 685 користувачів Avici, що призвело до падіння токена AVICI необанку на 49%.
AVICI — самоконтрольний необанк, який дозволяє користувачам витрачати свій криптовалютний актив через кредитну картку з інтеграцією Visa — впав із 24-годинного максимуму на $0,43 до рекордно низького рівня $0,217, перш ніж відновитися до близько $0,378 на момент написання цього тексту.
Tria, ще один крипто-необанк, повідомила, що постраждало 636 користувачів, що призвело до збитків на суму понад 430 000 доларів США. Вона пообіцяла повністю погасити зобов’язання перед користувачами, навіть коли її токен впав більше ніж на 10% у один момент.
Avici сказав, що атака обмежилася контрактом Solana, який зберігав кошти після поповнення карток клієнтами. Їхні самокеровані гаманці на мережах Solana та ethereum-сумісних мережах не були вплинуті, і компанія заявила, що кожен постраждалий баланс картки буде повернено.
Rain сказав, що його моніторинг виявив вразливість у застарілій версії контракту, яку використовували Avici та невелика кількість інших програм. Він оновив усі програми, що використовували цю версію, і не зафіксував жодної подальшої несанкціонованої діяльності.
Умови Avici вказують на Third National як на видачу картки, тоді як Rain, головний учасник Visa, забезпечує базову інфраструктуру стейблкоїн-картки.
Дані транзакцій показують, що нападник неодноразово надсилав підписану авторизацію, додавав себе як адміністратора до окремих акаунтів з гарантіями у вигляді карток та здійснював зняття їхніх балансів. Вкрадені стейблкоїни були обміняні на solana (SOL), перенесені на ethereum і нарешті відправлені через крипто-міксер Tornado Cash.
Різниця між приблизно 1,1 мільйона доларів США, відстежених у блокчейні, і повідомленим збитком Avici свідчить про те, що також постраждали інші програми на базі Rain.
Жодна з компаній не визначила ці програми чи не розкрила загальну суму, яку втратила кожна з них.
Інцидент розкриває передачу контролю над коштами, що лежить в основі деяких криптовалютних карт з самоконтролем. Користувачі керували коштами, що зберігалися у гаманцях Avici, але кошти, завантажені для витрат, переходили до контракту третьої сторони.
Ця різниця стає все більш значущою, оскільки витрати за допомогою відстежуваних криптокарт зросли більше ніж утричі до $1,04 млрд у липні, причому стейблкоїни фінансували 70% більше ніж 10 мільйонів транзакцій.
Avici сказав, що подав звіт до Інтернет-центру звітів про кіберзлочини Федерального бюро розслідувань. Не було сказано, коли надійдуть повернення коштів або як вони будуть фінансуватися.