Một cuộc khai thác hợp đồng thông minh từng khiến một ngân hàng số trên Solana đầy hứa hẹn dường như sắp sụp đổ, giờ đây đang tạo ra một tiêu đề khác. Avici đã xác nhận hoàn tiền đầy đủ cho tất cả 1.685 người dùng có số dư thẻ bị ảnh hưởng bởi sự cố ngày 28 tháng Tám, và thị trường đã phản ứng ngay lập tức: token BANKJ tăng hơn 50% sau tin tức này.
Sự phục hồi đó, dù nhanh chóng, xảy ra trong bối cảnh thiệt hại nghiêm trọng. Cuộc khai thác đã khiến người dùng bị ảnh hưởng mất từ 650.000 đến 1 triệu đô la Mỹ, tùy vào phương pháp kế toán bạn sử dụng, và tạm thời xóa bỏ từ 32% đến 49% giá trị của token quản trị AVICI.
Điều gì đã thực sự xảy ra vào ngày 28 tháng 8
Avici được xây dựng như một neobank tự quản lý trên Solana. Sản phẩm cốt lõi kết hợp thẻ Visa Signature với các ví thông minh lưu trữ tiền của người dùng cho đến khi giao dịch thẻ được thanh toán tại điểm bán.
Cuộc khai thác đã phá vỡ mô hình đó một cách có mục tiêu. Những kẻ tấn công đã tìm thấy lỗ hổng trong ba thao tác hợp đồng thông minh: SubmitSignatures, AddCollateralAdmin và WithdrawCollateralAsset. Bằng cách kết nối các thao tác này lại với nhau, chúng đã có thể chiếm quyền quản trị không được phép đối với khoảng 1.100 tài khoản đảm bảo và sau đó rút hết số dư thông qua một chuỗi các khoản rút nhỏ.
Nguyên nhân gốc rễ là một lối tắt kiến trúc: các hợp đồng thông minh của Avici sử dụng một quyền nâng cấp duy nhất không phải multisig, nghĩa là chỉ cần một khóa bị xâm phạm là kẻ tấn công đã có thể tăng quyền hạn trên toàn hệ thống.
Công ty đã thừa nhận các vấn đề với việc rút tiền từ thẻ ngay sau vụ xâm nhập, xác nhận rằng họ đang hợp tác với các đối tác để kiểm soát tình hình. Sau đó là hàng tuần bất an đối với người dùng và sự sụp đổ giá token, khiến vốn hóa thị trường của AVICI giảm xuống mức thấp nhất vào khoảng từ 2,8 triệu đến 4 triệu USD.
Cam kết hoàn tiền và lý do nó quan trọng
Việc hoàn trả đầy đủ cho 1.685 người dùng không phải là việc đơn giản đối với một dự án có vốn hóa thị trường gần đây chỉ ở mức vài triệu đô la. Thông báo này cho thấy Avici có thể đã dành sẵn dự trữ, nhận được sự hỗ trợ từ bên ngoài, hoặc cả hai, mặc dù công ty chưa công khai chi tiết cơ chế tài trợ và xử lý hoàn tiền.
Token quản trị của Avici và xu hướng trước khi xảy ra sự cố
Avici đã ra mắt token quản trị AVICI vào tháng 10 năm 2025 thông qua MetaDAO. Đợt huy động vốn đã vượt chỉ tiêu, và dự án đã giữ lại khoảng 3,5 triệu USD trong khi hoàn lại phần lớn các cam kết vượt quá mục tiêu. Chi tiết này quan trọng hiện nay vì nó cho thấy dự án đã bước vào sự cố với nguồn quỹ đáng kể, có thể là một phần lý do khiến cam kết hoàn trả đầy đủ trở nên đáng tin cậy.
Điều này có nghĩa gì đối với Solana DeFi và các sản phẩm thẻ crypto
Sự cố Avici làm nổi bật một rủi ro không chỉ riêng của Avici: bất kỳ dự án nào chạy các hợp đồng có thể nâng cấp với một khóa duy nhất kiểm soát việc nâng cấp đều mang một dạng của lỗ hổng tương tự. Điều này bao gồm một phần đáng kể hệ sinh thái DeFi trên Solana.
Đối với các sản phẩm thẻ tiền điện tử cụ thể, mức độ rủi ro cao hơn so với một giao thức DeFi thông thường. Một vụ xâm phạm ảnh hưởng đến số dư thẻ liên kết Visa không chỉ là sự thất bại của hợp đồng thông minh. Đó là sự thất bại trong bối cảnh người dùng có mọi lý do để kỳ vọng mức độ đáng tin cậy như ngân hàng.