Một lỗ hổng trong hợp đồng Rain card lỗi thời đã rút khoảng 1,1 triệu USD qua nhiều chương trình dựa trên Solana, bao gồm $500.800 từ 1.685 người dùng Avici, khiến token AVICI của ngân hàng số giảm tới 49%.
AVICI — một neobank tự quản lý cho phép người dùng chi tiêu tiền điện tử thông qua thẻ tín dụng tích hợp Visa — đã giảm từ mức cao nhất 24 giờ là 0,43 USD xuống mức thấp kỷ lục là 0,217 USD trước khi phục hồi lên khoảng 0,378 USD tại thời điểm viết bài.
Tria, một neobank tiền điện tử khác, báo cáo rằng 636 người dùng bị ảnh hưởng, dẫn đến tổn thất tổng cộng vượt quá 430.000 USD. Công ty cam kết hoàn trả đầy đủ cho người dùng, ngay cả khi đồng token của nó đã giảm hơn 10% tại một thời điểm.
Avici cho biết cuộc tấn công chỉ giới hạn ở một hợp đồng Solana lưu trữ số tiền sau khi khách hàng nạp tiền vào thẻ. Các ví tự quản lý trên Solana và các mạng tương thích Ethereum không bị ảnh hưởng, và công ty cho biết số dư của mọi thẻ bị ảnh hưởng sẽ được hoàn lại.
Rain cho biết việc giám sát của họ đã phát hiện lỗ hổng trong phiên bản hợp đồng lỗi thời được Avici và một số chương trình khác sử dụng. Họ đã nâng cấp tất cả các chương trình đang chạy phiên bản đó và không ghi nhận thêm hoạt động trái phép nào.
Các điều khoản của Avici xác định Third National là tổ chức phát hành thẻ, trong khi Rain, một thành viên chính của Visa, cung cấp cơ sở hạ tầng thẻ stablecoin cơ sở.
Dữ liệu giao dịch cho thấy kẻ tấn công đã liên tục gửi bản ủy quyền đã ký, tự thêm mình làm quản trị viên cho các tài khoản đảm bảo bằng thẻ và rút số dư của chúng. Các stablecoin bị đánh cắp đã được hoán đổi thành solana (SOL), chuyển sang ethereum và cuối cùng được gửi qua công cụ trộn tiền điện tử Tornado Cash.
Sự khác biệt giữa khoảng 1,1 triệu đô la được truy vết trên chuỗi và khoản tổn thất mà Avici báo cáo cho thấy các chương trình được vận hành bởi Rain khác cũng đã bị ảnh hưởng.
Cả hai công ty đều chưa xác định được các chương trình đó hoặc tiết lộ tổng số tiền mỗi bên bị mất.
Sự cố này phơi bày quá trình chuyển giao lưu ký đằng sau một số thẻ crypto tự lưu ký. Người dùng kiểm soát số tiền được giữ trong ví Avici, nhưng số tiền nạp để chi tiêu đã được chuyển vào hợp đồng của bên thứ ba.
Sự khác biệt này ngày càng trở nên quan trọng hơn khi chi tiêu qua thẻ crypto được theo dõi đã tăng hơn ba lần lên 1,04 tỷ USD vào tháng Bảy, với stablecoin tài trợ cho 70% hơn 10 triệu giao dịch.
Avici cho biết họ đã nộp báo cáo đến Trung tâm Khiếu nại Tội phạm Internet của Cục Điều tra Liên bang. Chưa có thông tin về thời điểm các khoản hoàn tiền sẽ được chuyển hoặc nguồn vốn để thực hiện việc này.