أفادت التقارير بأن هجومًا مستمرًا ضد منصة بطاقات العملات المشفرة Avici، المبنية على سولانا، قد سحب أكثر من مليون دولار من حسابات ضمان المستخدمين، بينما أرسل رمز AVICI الخاص بها إلى أدنى مستوى له على الإطلاق.

مهاجم Avici يضيف مسؤولين قبل عمليات السحب

وفقًا للتقارير، كان المهاجم المشتبه به قد جمع 10,005.03 SOL، بقيمة حوالي 1.07 مليون دولار في الساعة 18:58 بالتوقيت العالمي المنسق (UTC)، بالإضافة إلى ما يقرب من 11,600 دولار من USDC وUSDT. استند التحليل إلى سجلات معاملات سولانا وبيانات RPC التي تم جمعها بينما كان الهجوم لا يزال جاريًا.

تلقت المحفظة تمويلها الأولي عبر deBridge في الساعة 13:40 بالتوقيت العالمي المنسق (UTC)، عندما وصلت 1.79 SOL من شبكة أخرى. بعد أن ظلت غير نشطة لمدة ثلاث ساعات تقريبًا، أجرت المحفظة أول مكالمة لها تتعلق ببرامج Avici في الساعة 16:49:48 بالتوقيت العالمي المنسق (UTC).

أظهرت سجلات المعاملات التي راجعتها المجلة نفس العملية المكونة من ثلاث خطوات عبر الحسابات المتأثرة. أولاً، استدعت المحفظة SubmitSignatures من خلال برنامج تفويض Avici في معاملة استخدمت أيضًا برنامج التحقق من التوقيع Ed25519 الخاص بسولانا.

بعد ذلك، استدعى المهاجم AddCollateralAdmin على برنامج ضمان Avici، مسجلاً مسؤولاً إضافيًا لحساب المستخدم. ثم قامت مكالمة WithdrawCollateralAsset النهائية بتحويل الضمان إلى حساب يسيطر عليه المهاجم.

في إحدى المعاملات التي تمت مراجعتها، نقلت تعليمات السحب 2,346.77 USDT من حساب ضمان المستخدم. كما قام المهاجم بتحويل بعض العملات المستقرة التي تم جمعها إلى SOL، بما في ذلك مبادلة واحدة أعادت 209.76 SOL.

بحلول نقطة التفتيش التي حددتها المجلة، كانت المحفظة قد وقعت 14,672 معاملة، فشلت منها 2,344 معاملة. زادت مقتنياتها من SOL بحوالي 2,595 رمزًا، بقيمة حوالي 277,000 دولار في ذلك الوقت، خلال فترة 11 دقيقة.

أنشأ محلل البيانات على السلسلة المجهول STACC أيضًا متتبعًا مباشرًا للتحويلات المتأثرة. ووفقًا للأرقام المذكورة من المتتبع، تم تحديد 125 حسابًا مرسلاً، وتراوحت التحويلات الفردية من حوالي 9 USDC إلى أكثر من 26,000 USDT.

لم تنشر Avici ولا شركة أمن مستقلة تقريرًا ما بعد الحادث يحدد كيف حصل المهاجم على التفويض. على الرغم من أن تسلسل المعاملات يوضح كيف تحركت الأموال، إلا أنه لا يثبت ما إذا كان الحادث ناتجًا عن عيب برمجي، أو بيانات اعتماد مخترقة، أو سلطة توقيع مكشوفة، أو فشل آخر.

Avici تؤكد مشكلة سحب البطاقة

أقرت Avici بالحادث في منشور على منصة X نُشر بعد ساعة و53 دقيقة تقريبًا من أول معاملة تم الإبلاغ عنها تتضمن برامجها.

“نحن على دراية بمشكلة تؤثر على عمليات سحب رصيد البطاقة ونراقب الوضع عن كثب.”

وأضافت الشركة أنها تعمل مباشرة مع الشركاء المعنيين وستقدم تحديثات بمجرد توفر المزيد من المعلومات. لم تصف Avici الحادث بأنه استغلال، ولم تؤكد حجم الأموال المسحوبة أو عدد العملاء المتأثرين.

لا تزال هناك عدة أسئلة أخرى بدون إجابة، بما في ذلك ما إذا كان النشاط قد توقف، وما إذا كانت Avici قد أوقفت برامجها مؤقتًا، وما إذا كان المستخدمون المتأثرون سيتلقون تعويضًا. لم تكشف الشركة عما إذا كانت أي مفاتيح توقيع أو حسابات إدارية قد تعرضت للاختراق.

كان المستخدمون قد أبلغوا عن أرصدة مفقودة على وسائل التواصل الاجتماعي قبل أن تصدر Avici بيانها. وذكر أحد المستخدمين بشكل خاص أن رصيد Avici الخاص به قد تم سحبه بالكامل بينما كان ينتظر معلومات من المشروع.

يتعلق الحادث ببرامج ضمان البطاقة والتفويض الخاصة بـ Avici وليس بشبكة سولانا نفسها. لم يحدد أي تقرير متاح ثغرة أمنية في البلوك تشين الأساسية لسولانا.

كان كلا برنامجي Avici قابلين للترقية ويشتركان في نفس سلطة الترقية، وفقًا للتقارير. وكانت السلطة المبلغ عنها عبارة عن حساب سولانا عادي بدلاً من حساب متعدد التوقيعات، على الرغم من عدم وجود دليل حتى الآن يثبت أن سلطة الترقية تسببت في عمليات السحب أو مكنتها.

حظيت الضوابط التشغيلية باهتمام متزايد مع تجاوز الهجمات للعيوب الموجودة في كود العقود الذكية. في يوليو، أفادت crypto.news نتائج أمنية أظهرت أن المفاتيح والموقعين والبنية التحتية المخترقة شكلت 88.3% من حوالي 764 مليون دولار سُرقت خلال الربع الثاني من عام 2026. ووجد تقرير هاكين المذكور في المقال أن 4% فقط من المشاريع التي تم تتبعها جمعت بين عمليات التدقيق، ومكافآت الأخطاء النشطة، والمراقبة من طرف ثالث.

هجوم Avici يتحدى ادعاءاتها بالحفظ الذاتي

تصف Avici منتجها بأنه محفظة ذاتية الحفظ متصلة ببطاقة ائتمان فيزا مؤمنة. ويذكر إدراجها في متجر تطبيقات Apple أن المستخدمين يظلون مسيطرين وأن Avici لا تحتفظ بأموالهم أبدًا.

بموجب نموذج البطاقة، يودع العملاء العملات المشفرة في حسابات الضمان ويتلقون حد ائتمان مطابق. تقلل المشتريات من رصيد البطاقة المتاح، بينما يستخدم الضمان ذو الصلة لاحقًا للتسوية.

القدرة المبلغ عنها على إضافة مسؤول آخر وإزالة الضمان غير المنفق تثير تساؤلات حول كيفية فرض ضوابط التفويض في Avici لنموذجها المعلن للحفظ الذاتي. سيتطلب أي اكتشاف فني أن تشرح Avici أو شركة أمن مستقلة لماذا تم قبول توقيعات المهاجم.

تحدد وثائق Avici شركة Rain كشريك مشارك في خدمة بطاقاتها. توفر Rain البنية التحتية لدفع العملات المستقرة وتعمل مع المؤسسات المرخصة لإصدار بطاقات متصلة بفيزا وماستركارد. يشير تحليل المعاملات المتاح إلى برامج Avici على سولانا، ولم تذكر Avici ولا Rain أن أنظمة Rain أو فيزا قد تعرضت للاختراق.

يعد هذا التمييز مهمًا للمستخدمين لأن منتج الدفع ذاتي الحفظ من المفترض أن يحافظ على الأصول غير المنفقة تحت سيطرة مالك المحفظة. قدمت Tangem نموذجًا مشابهًا في نوفمبر 2025، مع إنفاق USDC على السلسلة عبر بطاقة فيزا افتراضية بينما احتفظ المستخدمون بحفظ أموالهم.

واجهت البنية التحتية للدفع أيضًا حوادث منفصلة متعلقة بالمحافظ. في يوليو، حدد محللو البيانات على السلسلة تدفقات خارجية مشبوهة تجاوزت 9.7 مليون دولار من محافظ مرتبطة بمزود دفع العملات المستقرة Triple-A عبر شبكات مثل سولانا، وإيثيريوم، وترون، وتون. لم تؤكد Triple-A ما إذا كانت أصول العملاء متورطة عند نشر التقرير.

AVICI ينخفض 49% إلى أدنى مستوى له على الإطلاق

انخفض AVICI بنسبة 49.4% خلال 24 ساعة إلى 0.2175 دولار مع انتشار تقارير السحب، وفقًا لبيانات CoinGecko المذكورة في ذلك الوقت. أدى هذا البيع إلى خفض القيمة السوقية للرمز إلى حوالي 2.84 مليون دولار ودفع سعره إلى أدنى مستوى قياسي.

وصل حجم التداول إلى حوالي 656,543 دولارًا خلال نفس الفترة الزمنية البالغة 24 ساعة. حدث معظم تداول AVICI من خلال صانع السوق الآلي القائم على MetaDAO futarchy، بينما شكلت منصات LBank وKCEX وMEXC النشاط المبلغ عنه المتبقي.

تدرج CoinGecko أعلى مستوى قياسي لـ AVICI عند 7.56 دولار، والذي تم الوصول إليه في 26 نوفمبر 2025. ترك أدنى مستوى في يوم الحادث الرمز أقل بنسبة 97% تقريبًا من تلك الذروة.

Avici Inc. هي شركة أمريكية تدرج عنوانًا في سان فرانسيسكو على موقعها الإلكتروني، بينما تحدد سياسة الخصوصية الخاصة بها أنها شركة مسجلة في ديلاوير. توفر المنصة أيضًا شروط بطاقة منفصلة للعملاء الأمريكيين، مما يخلق تعرضًا مباشرًا للمستخدمين الأمريكيين المؤهلين لخدمات محفظتها وبطاقاتها المؤمنة.

جمعت الشركة 3.5 مليون دولار من خلال بيع رمز MetaDAO بحد أقصى في أكتوبر 2025. يُظهر سجل جمع التبرعات الخاص بـ MetaDAO أن 7,352 مساهمًا التزموا بحوالي 34.23 مليون دولار، لكن Avici أعادت حوالي 89.8% من USDC المتعهد به بعد تطبيق سقف البيع.

عرضت الشركة AVICI بسعر 0.35 دولار وقدرت قيمة المشروع بحوالي 4.52 مليون دولار على أساس مخفف بالكامل. أصدرت Avici 10 ملايين رمز من خلال البيع، تمثل حوالي 77.5% من إمدادها البالغ 12.9 مليون رمز.