Зловмисник вивів понад 653 000 доларів США з колатеральних складів карток у Avici — необанку на Solana, чия власна документація обіцяла, що тільки гаманець користувача може переміщувати ці кошти.
Токен Avici (AVICI) з того часу впав приблизно на 40% до $0,24. Сума, що була вилучена, становить майже п’яту частину його загальної ринкової вартості.
Що зламав Avici Exploit
Avici пропонує кредитну картку Visa, забезпечену USDC. Користувачі блокують стейблкоїн у смартконтракті, а витрати зменшують його баланс. Картку видає Third National, а не Avici.
«Тільки гаманець користувача може вивести кошти з ескроу-контракту після вирахування витрат», — зазначає документація компанії, що вказує, хто має ключі.
У п’ятницю сейфи все одно опорожнилися, при цьому живий трекер зарахував виведення $653 548 станом на момент написання цього тексту.
Самоконтроль визначив, хто не міг отримати кошти. Він не видалив усі привілеї, закладені в самій програмі. Саме ця прогалина — туди й зникли кошти.
Дослідники на ланцюзі стверджують, що нападник надіслав зловмисний пакет підписів, став адміністратором на ескроу-акаунтах, а потім вивів кошти. Avici не підтвердила цей метод.
Слідкуйте за нами в X, щоб отримувати останні новини відразу після їх публікації
Чому це не хак транзакційного скарбниці
Кожен клієнт має окремий ескровий контракт. Тож гроші виводилися з акаунту на акаунт. Єдиного фонду, який можна було порожніти, не було.
Це вказує на знайомий шаблон, наприклад, коли атака на управління Solana вивезла $20 мільйонів з казначейства одного BONK DAO за один раз.
Супутні токени рідко ігнорують такі інциденти, саме тому токен AVICI впав майже на 40%. Подібним чином, порушення мосту відправило токен Midnight до рекордно низького рівня в липні.
Avici сказав лише, що він усвідомлює проблему, що впливає на виведення коштів з балансу картки. Після цього не було опубліковано аналізу.
Компанія не повідомила, чи можна все ще викликати залишки сховищ, чи страждає розрахунок карток з Third National.