Isang patuloy na pag-atake laban sa Solana-based na crypto card platform na Avici ang naiulat na nakakuha ng mahigit $1 milyon mula sa mga collateral account ng user habang pinababa ang AVICI token nito sa pinakamababang antas nito.

Umaatake ng Avici, nagdagdag ng mga administrator bago ang mga withdrawal

Ayon sa mga ulat, nakakolekta ang pinaghihinalaang umaatake ng 10,005.03 SOL, na nagkakahalaga ng humigit-kumulang $1.07 milyon noong 18:58 UTC, kasama ang humigit-kumulang $11,600 sa USDC at USDT. Ang pagsusuri nito ay batay sa Solana transaction logs at RPC data na nakalap habang nagpapatuloy pa ang atake.

Natanggap ng wallet ang paunang pondo nito sa pamamagitan ng deBridge noong 13:40 UTC, nang dumating ang 1.79 SOL mula sa isa pang network. Matapos manatiling hindi aktibo sa loob ng humigit-kumulang tatlong oras, ginawa ng address ang una nitong tawag na kinasasangkutan ng mga programa ng Avici noong 16:49:48 UTC.

Ipinakita ng mga transaction log na sinuri ng publikasyon ang parehong prosesong may tatlong hakbang sa mga apektadong account. Una, tinawag ng wallet ang SubmitSignatures sa pamamagitan ng authorization program ng Avici sa isang transaksyon na gumamit din ng Ed25519 signature verification program ng Solana.

Pagkatapos, tinawag ng umaatake ang AddCollateralAdmin sa collateral program ng Avici, na nagparehistro ng karagdagang administrator para sa account ng user. Isang huling tawag na WithdrawCollateralAsset ang naglipat ng collateral sa isang account na kontrolado ng umaatake.

Sa isang sinuring transaksyon, inilipat ng instruksyon sa pag-withdraw ang 2,346.77 USDT mula sa collateral account ng isang user. Ginawa rin ng umaatake na SOL ang ilan sa mga nakolektang stablecoin, kasama ang isang swap na nagbalik ng 209.76 SOL.

Sa checkpoint ng publikasyon, nilagdaan ng wallet ang 14,672 transaksyon, kung saan 2,344 ang nabigo. Ang SOL holdings nito ay tumaas ng humigit-kumulang 2,595 token, na nagkakahalaga noon ng humigit-kumulang $277,000, sa loob ng 11 minutong yugto.

Gumawa din ang anonymous on-chain analyst na si STACC ng live tracker para sa mga apektadong transfer. Ayon sa mga pigura na binanggit mula sa tracker, 125 sending account ang natukoy, na may mga indibidwal na transfer na mula humigit-kumulang 9 USDC hanggang mahigit 26,000 USDT.

Wala pang Avici o isang independiyenteng kumpanya ng seguridad na naglathala ng post-mortem na nagtukoy kung paano nakakuha ng pahintulot ang umaatake. Bagaman ipinapakita ng pagkakasunod-sunod ng transaksyon kung paano lumipat ang mga pondo, hindi nito naitatag kung ang insidente ay resulta ng isang program flaw, nakompromisong credentials, isang exposed signing authority, o iba pang pagkabigo.

Avici, kinumpirma ang isyu sa pag-withdraw ng card

Kinilala ng Avici ang insidente sa isang X post na inilathala humigit-kumulang isang oras at 53 minuto pagkatapos ng unang naiulat na transaksyon na kinasasangkutan ng mga programa nito.

“Alam namin ang isang isyu na nakakaapekto sa mga pag-withdraw ng balanse ng card at mahigpit naming binabantayan ang sitwasyon.”

Idinagdag ng kumpanya na direkta itong nakikipagtulungan sa mga nauugnay na kasosyo at magbibigay ng mga update sa sandaling maging available ang karagdagang impormasyon. Hindi tinawag ng Avici ang insidente na isang exploit, kinumpirma kung magkano ang nakuha o sinabi kung gaano karaming customer ang naapektuhan.

Marami pang ibang tanong ang nananatiling hindi nasasagot, kabilang na kung huminto na ba ang aktibidad, kung pinause na ba ng Avici ang mga programa nito, at kung makakatanggap ba ng kompensasyon ang mga apektadong user. Hindi pa isiniwalat ng kumpanya kung may anumang signing key o administrative account na nakompromiso.

Nag-ulat ang mga user ng mga nawawalang balanse sa social media bago inilabas ng Avici ang pahayag nito. Isang user ang partikular na nagsabi na na-drain ang buong balanse ng Avici nila habang naghihintay sila ng impormasyon mula sa proyekto.

Ang insidente ay may kinalaman sa card collateral at authorization programs ng Avici at hindi sa Solana network mismo. Walang available na ulat ang nakatukoy ng kahinaan sa pinagbabatayan na blockchain ng Solana.

Parehong upgradeable ang mga programa ng Avici at nagbahagi ng parehong upgrade authority, ayon sa mga ulat. Ang authority ay naiulat na isang standard na Solana account sa halip na isang multisignature account, bagaman wala pang ebidensya ang nagpapakita na ang upgrade authority ang sanhi o nagbigay-daan sa mga withdrawal.

Ang mga kontrol sa operasyon ay nakakuha ng higit na atensyon habang ang mga atake ay lumalampas sa mga kahinaan na nilalaman sa code ng smart contract. Noong Hulyo, iniulat ng crypto.news ang mga natuklasan sa seguridad na nagpapakita na ang mga nakompromisong key, signers, at imprastraktura ay nagkakahalaga ng 88.3% ng humigit-kumulang $764 milyon na ninakaw noong ikalawang quarter ng 2026. Natuklasan ng ulat ng Hacken na binanggit sa artikulo na 4% lamang ng mga sinusubaybayang proyekto ang pinagsama-samang audit, aktibong bug bounties, at third-party monitoring.

Atake sa Avici, hinahamon ang mga pahayag nito sa self-custody

Inilalarawan ng Avici ang produkto nito bilang isang self-custodial wallet na konektado sa isang secured na Visa credit card. Nakasaad sa listahan nito sa Apple App Store na nananatili ang kontrol sa mga user at hindi kailanman hawak ng Avici ang kanilang mga pondo.

Sa ilalim ng modelo ng card, nagdedeposito ang mga customer ng crypto sa mga collateral account at nakakatanggap ng kaukulang limitasyon sa kredito. Binabawasan ng mga pagbili ang available na balanse ng card, habang ang kaugnay na collateral ay ginagamit kalaunan para sa pag-areglo.

Ang naiulat na kakayahang magdagdag ng isa pang administrator at alisin ang hindi nagastos na collateral ay nagtataas ng mga katanungan tungkol sa kung paano ipinatutupad ng mga kontrol sa awtorisasyon ng Avici ang inaanunsyo nitong modelo ng self-custody. Kakailanganin ng isang teknikal na natuklasan ang Avici o isang independiyenteng kumpanya ng seguridad upang ipaliwanag kung bakit tinanggap ang mga signature submission ng umaatake.

Tinutukoy ng dokumentasyon ng Avici ang Rain bilang isang kasosyo na kasangkot sa serbisyo ng card nito. Ang Rain ay nagbibigay ng imprastraktura ng pagbabayad ng stablecoin at nakikipagtulungan sa mga lisensyadong institusyon upang mag-isyu ng mga card na konektado sa Visa at Mastercard. Ang available na pagsusuri ng transaksyon ay tumuturo sa mga programa ng Avici sa Solana, at walang Avici o Rain ang nagsabi na nakompromiso ang mga sistema ng Rain o Visa.

Mahalaga ang pagkakaiba para sa mga user dahil ang isang self-custodial payment product ay inaasahang panatilihin ang hindi nagastos na mga asset sa ilalim ng kontrol ng may-ari ng wallet. Ipinakilala ng Tangem ang isang katulad na modelo noong Nobyembre 2025, na may on-chain na paggasta ng USDC sa pamamagitan ng isang virtual na Visa card habang pinananatili ng mga user ang custody ng kanilang mga pondo.

Nahaharap din ang imprastraktura ng pagbabayad sa magkahiwalay na insidente na may kaugnayan sa wallet. Noong Hulyo, natukoy ng mga on-chain analyst ang mga kahina-hinalang paglabas na lumampas sa $9.7 milyon mula sa mga wallet na nauugnay sa stablecoin payment provider na Triple-A sa mga network kabilang ang Solana, Ethereum, TRON at TON. Hindi kinumpirma ng Triple-A kung kasama ang mga asset ng customer nang ilathala ang ulat.

Bumaba ang AVICI ng 49% sa pinakamababang antas nito

Bumaba ang AVICI ng 49.4% sa loob ng 24 na oras sa $0.2175 habang kumalat ang mga ulat ng mga withdrawal, ayon sa data ng CoinGecko na binanggit noon. Binawasan ng selloff ang market capitalization ng token sa humigit-kumulang $2.84 milyon at itinulak ang presyo nito sa isang record low.

Umabot sa humigit-kumulang $656,543 ang volume ng trading sa loob ng parehong 24 na oras na yugto. Karamihan sa trading ng AVICI ay naganap sa pamamagitan ng futarchy automated market maker ng MetaDAO, habang ang LBank, KCEX, at MEXC ang nagkaloob ng natitirang naiulat na aktibidad.

Inilista ng CoinGecko ang record high ng AVICI sa $7.56, na naabot noong Nob. 26, 2025. Ang incident-day low ay nag-iwan sa token ng humigit-kumulang 97% sa ibaba ng tuktok na iyon.

Ang Avici Inc. ay isang kumpanya sa US na naglilista ng San Francisco address sa website nito, habang kinikilala ng patakaran sa privacy nito na ito ay isang korporasyon ng Delaware. Nagbibigay din ang platform ng hiwalay na mga tuntunin ng card para sa mga customer ng US, na lumilikha ng direktang exposure para sa mga kwalipikadong user ng Amerika ng wallet at secured card services nito.

Nakakuha ang kumpanya ng $3.5 milyon sa pamamagitan ng isang capped MetaDAO token sale noong Oktubre 2025. Ipinapakita ng talaan ng fundraising ng MetaDAO na 7,352 kontribyutor ang naglaan ng humigit-kumulang $34.23 milyon, ngunit ibinalik ng Avici ang humigit-kumulang 89.8% ng ipinangakong USDC pagkatapos ilapat ang sale cap.

Pinresyuhan ng alok ang AVICI sa $0.35 at pinahahalagahan ang proyekto sa humigit-kumulang $4.52 milyon sa isang fully diluted na batayan. Nag-isyu ang Avici ng 10 milyong token sa pamamagitan ng pagbebenta, na kumakatawan sa humigit-kumulang 77.5% ng supply nito na 12.9 milyong token.