Експлуатація смартконтракту, яка на короткий час виглядала як загроза для перспективного необанку на Solana, зараз породжує інший тип заголовків. Avici підтвердила повне повернення коштів усім 1 685 користувачам, чиї баланси карток були вплинуті порушенням 28 серпня, і ринок миттєво відреагував: токен BANKJ стрибнув більше ніж на 50% на цю новину.
Це відновлення, хоча й різке, відбувається на тлі серйозної шкоди. Експлойт завдав шкоди користувачам у розмірі від 650 000 до 1 мільйона доларів США, залежно від використовуваного методу обліку, і тимчасово знизив вартість токена управління AVICI на 32–49%.
Що саме відбулося 28 серпня
Avici створений як необанк з самоконтролем на Solana. Основний продукт поєднує карту Visa Signature з розумними гаманцями, які зберігають кошти користувача до моменту завершення транзакції карткою у точці продажу.
Експлойт порушив цю модель цілеспрямовано. Зловмисники знайшли вразливості у трьох операціях смартконтракту: SubmitSignatures, AddCollateralAdmin та WithdrawCollateralAsset. Послідовно поєднавши ці операції, вони змогли отримати несанкціоновані адміністративні права над приблизно 1 100 забезпечувальними акаунтами, а потім вивести кошти з них за допомогою серії невеликих виведень.
Основною причиною був архітектурний скорочений шлях: смартконтракти Avici використовували один єдиний правомічний орган для оновлення, що не є мультипідписним, тобто одного скомпрометованого ключа було достатньо, щоб атакуючий підвищив привілеї в системі.
Компанія визнала проблеми з виведенням коштів з карток незабаром після порушення, підтвердивши, що працює з партнерами, щоб припинити ситуацію. Після цього наступили тижні невизначеності для користувачів і падіння вартості токенів, що зменшило ринкову капіталізацію AVICI до діапазону приблизно від 2,8 мільйона до 4 мільйонів доларів США у найнижчій точці.
Зобов’язання щодо повернення коштів і чому це важливо
Повна компенсація для 1 685 користувачів — це не просте завдання для проекту, ринкова капіталізація якого недавно становила кілька мільйонів доларів. Оголошення свідчить про те, що Avici або мала резерви, виділені заздалегідь, або отримала зовнішню підтримку, або і те, і інше, хоча компанія не оприлюднила деталей щодо того, як будуть фінансуватися та оброблятися повернення коштів.
Токен управління Avici та траєкторія до експлойту
Avici запустила свій управляючий токен AVICI у жовтні 2025 року через MetaDAO. Збір коштів був перевиконаний, і проект зберіг приблизно 3,5 мільйона доларів США, повернувши більшість зобов’язань, що перевищили цільову суму. Цей факт має значення зараз, оскільки вказує на те, що проект увійшов у випадок експлуатації зі значними ресурсами скарбниці, що може бути частиною того, що робить обітницю повного повернення коштів вірогідною.
Що це означає для Solana DeFi та криптовалютних карток
Інцидент з Avici підкреслює ризик, який не є унікальним для Avici: будь-який проект, який використовує оновлювані контракти з однією ключовою адресою, що керує оновленнями, піддається варіанту тієї ж вразливості. Це стосується значної частини екосистеми Solana DeFi.
Щодо продуктів криптовалютних карток, ризики вищі, ніж у типовому DeFi-протоколі. Порушення, що стосується балансів карток, пов’язаних із Visa, — це не просто невдача смартконтракту. Це невдача в контексті, де користувачі мали всі підстави очікувати надійність, подібну до банківської.