Isang attacker ang nagsamantala sa lumang kontrata ng Rain card noong Agosto 28, na nakakuha ng humigit-kumulang $1.1 milyon mula sa maraming programa ng stablecoin card na gumagana sa Solana, ayon sa kumpanya ng seguridad ng blockchain na Blockaid.
Ang Avici at Tria ay kabilang sa mga apektadong crypto neobank. Inihayag ng dalawang kumpanya ang pinagsamang pagkalugi na higit sa $932,800 sa 2,321 user. Sinabi ng Blockaid na ang iba pang mga programang sinusuportahan ng Rain ay nalantad din, na nagdala sa tinatayang pagkalugi sa humigit-kumulang $1.1 milyon.
Hindi na-access ng attacker ang mga self-custodial wallet o private key ng mga customer. Sa halip, tinarget ng exploit ang mga collateral contract na may hawak ng mga stablecoin na idineposito ng mga user upang pondohan ang balanse ng kanilang card.
Sinabi ng Rain na natuklasan ng mga monitoring system nito ang isang kahinaan na nakaaapekto sa “ilang programa” na gumagamit ng lumang bersyon ng Solana card contract nito. In-upgrade ng kumpanya ang bawat programang gumagana pa rin sa apektadong bersyon, ayon sa pahayag nito sa publiko.
Ang insidente ay nagdaragdag sa mas malawak na alalahanin tungkol sa mga kahinaan sa kontrata at operasyon. Ang mga pagkabigo sa seguridad ng Crypto ay nagdulot ng humigit-kumulang $1.1 bilyon sa pagkalugi noong unang kalahati ng 2026, ayon sa pananaliksik na inilathala ng Blockaid.
Nagbibigay ang Rain ng imprastraktura na nagpapahintulot sa mga kumpanya ng crypto na mag-isyu ng mga card na pinondohan ng stablecoin. Kapag pinondohan ng mga customer ang kanilang mga card, ang mga idineposito na asset ay lumilipat sa mga collateral account na pinamamahalaan sa pamamagitan ng mga onchain na kontrata.
Ang mga balanse na ito ay hiwalay sa mga asset na hawak sa loob ng personal na wallet ng mga customer. Kapag ang mga pondo ay pumasok sa isang collateral contract ng card, ang seguridad ng mga ito ay nakasalalay sa code at kontrol ng awtorisasyon ng provider ng imprastraktura.
Kinilala ng Blockaid ang apat na deployment na naglalaman ng code na may parehong opcode hash ng vulnerable contract. Sinabi ng kumpanya ng seguridad na binuhos ng attacker ang hindi bababa sa dalawang deployment. Ang iba pang dalawa ay naiulat na may parehong kahinaan ngunit walang kumpirmadong pagkalugi.
Kinumpirma ng Rain na isang lumang kontrata ang sanhi ng insidente. Gayunpaman, hindi ito naglathala ng kumpletong teknikal na ulat na tumutukoy sa bawat apektadong deployment o nagpapaliwanag kung bakit patuloy na ginagamit ng ilang programa ang mas lumang bersyon.
Ang sitwasyon ay kahawig ng iba pang mga insidente kung saan ang luma o paulit-ulit na vulnerable na imprastraktura ay nanatiling aktibo. Sa kaugnay na coverage, dalawang beses sinamantala ng mga attacker ang parehong Verus bridge contract sa loob ng dalawang buwan, na nagtaas ng magkatulad na katanungan tungkol sa mga upgrade sa mga nakabahaging deployment.
Ang insidente ng Rain ay hindi kumakatawan sa isang kompromiso ng Solana mismo. Patuloy na pinoproseso ng blockchain ang mga transaksyon nang normal habang sinamantala ng attacker ang application code na naka-deploy sa network.
Ang lumang kontrata ng Rain ay nangailangan ng dalawang independiyenteng awtorisasyon bago payagan ang ilang pagkilos sa account. Ginamit nito ang mga tagubilin sa pagpapatunay ng Ed25519 ng Solana upang kumpirmahin ang kinakailangang mga signature.
Ayon sa pagsusuri ng Blockaid, minanipula ng attacker ang pangalawang tagubilin sa pagpapatunay. Ang signature, public key at message offsets nito ay tumuro pabalik sa impormasyon na nilalaman sa unang tagubilin.
Samakatuwid, tinanggap ng vulnerable contract ang isang signature na kinokontrol ng attacker bilang dalawang independiyenteng pag-apruba. Ito ay nagpahintulot sa attacker na matugunan ang kinakailangan sa awtorisasyon nang walang pahintulot mula sa mga may-ari ng mga collateral account.
Matapos lampasan ang signature check, ginamit ng attacker ang isang tagubilin ng AddCollateralAdmin upang bigyan ang sarili nito ng mga pribilehiyong pang-administratibo sa mga indibidwal na account. Pagkatapos ay tinawag nito ang WithdrawCollateralAsset upang ilipat ang USDC at USDT mula sa mga account na iyon.
Naitala ng Blockaid ang 2,945 na pagdaragdag ng administrator at 5,288 na tawag sa pag-withdraw. Kinilala ng kumpanya ang 8,233 pangunahing transaksyon sa exploit sa loob ng humigit-kumulang dalawang oras at 29 minuto.
Ang operasyon ay nagpatuloy sa awtomatikong bilis. Sinabi ng Blockaid na ang unang dalawang matagumpay na pag-withdraw ay naganap nang may tatlong segundo na pagitan, na nagpapahiwatig na naghanda ang attacker ng isang sistema para sa pag-target ng maraming account.
Hindi pinahintulutan ng mga customer ang malisyosong transaksyon. Naganap ang exploit sa antas ng kontrata, na nangangahulugang ang mga proteksyon laban sa phishing o malisyosong signature ng wallet ay hindi sana pumigil sa mga pag-withdraw na ito.
Isang naiibang kahinaan sa antas ng aplikasyon ang kamakailan ay naglantad sa isa pang protocol nang ang mga may depekto na kontrol sa collateral ay nagpahintulot sa isang $75 milyong DeFi exploit. Sa parehong kaso, patuloy na gumagana ang mga pinagbabatayang network habang pinahintulutan ng lohika ng aplikasyon ang hindi awtorisadong aktibidad.
Ang na-withdraw na USDC at USDT ay naipon sa isang Solana wallet na kinilala bilang FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.
Ipinagpalit ng attacker ang mga stablecoin para sa SOL sa pamamagitan ng mga decentralized trading platform. Pagkatapos ay sinundan ng Blockaid ang mga nalikom mula Solana patungong Ethereum sa pamamagitan ng cross-chain protocol na deBridge.
Humigit-kumulang 455.9 ETH ang pumasok sa Tornado Cash sa pagitan ng 19:20 at 19:49 UTC, ayon sa Blockaid. Ang Tornado Cash ay nagsasama-sama ng mga deposito at pinapayagan ang pag-withdraw sa mga address na hindi publikong nakakonekta sa orihinal na mga wallet na nagpadala.
Kaya ginawa ng mixer na mas mahirap subaybayan ang mga sumusunod na paggalaw sa pamamagitan ng mga pampublikong rekord ng blockchain. Sinabi ng Blockaid na hindi pa nababawi ang mga ninakaw na pondo matapos pumasok sa Tornado Cash.
Ang paggamit ng cross-chain na imprastraktura ay nagdagdag ng isa pang yugto sa ruta ng paglilinis ng pera. Naging direktang target din ang mga crypto bridge, na may isang pekeng transfer exploit na nakakuha ng $11.5 milyon mula sa Verus Ethereum bridge mas maaga noong 2026.
Kinonekta ng Blockaid ang dalawang Ethereum address sa paunang pagpopondo ng aktibidad ng attacker ng Rain sa Solana. Wala sa Rain o sa mga awtoridad sa pagpapatupad ng batas ang publikong nagpakilala sa mga tao na kumokontrol sa mga address na iyon.
Ang mga pahayag ng kumpanya tungkol sa pagtukoy sa pag-atake at pagsubaybay sa mga pondo ay kumakatawan sa sarili nitong mga natuklasan. Nagbibigay ang Blockaid ng mga serbisyo sa seguridad at pagsubaybay sa mga kumpanya ng crypto, kabilang ang mga stablecoin card issuer.
Iniulat ni Avici na tinanggal ng attacker ang $500,859.22 mula sa mga balanse ng card na pag-aari ng 1,685 user. Sinabi ng kumpanya na ibinalik nito ang bayad sa lahat ng apektadong customer at nagbigay ng 10% cashback kasunod ng insidente.
Inihayag ni Tria ang humigit-kumulang $431,945 sa pagkalugi sa 636 na customer. Sinabi nito sa isang opisyal na update na ang bawat apektadong customer ay binabayaran.
Ang dalawang paglalahad ay nagkakahalaga ng $932,804.22 ng tinatayang pagkalugi. Pinangalanan din ng Blockaid ang Solayer Pay bilang isang apektadong programa, ngunit walang independiyenteng napatunayan na bilang para sa pagkalugi nito ang magagamit.
Ang pagkakaiba sa pagitan ng inihayag na pagkalugi nina Avici at Tria at ng $1.1 milyong pagtataya ng Blockaid ay lumilitaw na kinasasangkutan ng iba pang mga programang sinusuportahan ng Rain. Hindi pa nailathala ang kumpletong breakdown.
Bumagsak ang token ng Avici ng 49% mula sa pang-araw-araw nitong mataas matapos lumabas ang mga ulat ng exploit, ayon sa datos ng merkado. Umabot ang token sa naiulat na mababang $0.217 bago bahagyang bumawi. Ang token ng Tria ay bumaba rin ng higit sa 10% sa isang punto.
Ang mga paggalaw ng presyo na iyon ay sumunod sa mga pampublikong ulat ng pag-atake, bagaman ang mas malawak na kondisyon ng merkado ay maaaring nakaimpluwensya din sa kalakalan.
Sinabi ng Rain na ang lahat ng mga programa ng card na gumagamit ng lumang kontrata ay na-upgrade. Iniulat ng kumpanya na walang karagdagang hindi awtorisadong aktibidad pagkatapos makumpleto ang mga pagbabago.
Sinabi rin nito na ang mga apektadong user ay babayaran ng buo. Hindi pa inilalabas ng Rain kung direkta nitong babayaran ang mga programa ng card o kung ang mga indibidwal na provider ang sasagot sa mga gastos.
Maraming tanong pa rin ang hindi nasasagot. Hindi pa nailalabas ng Rain ang buong kasaysayan ng bersyon ng vulnerable contract, ang petsa kung kailan ipinakilala ang depekto o ang dahilan kung bakit nanatiling aktibo ang mas lumang mga deployment.
Hindi rin inilabas ng kumpanya kung nakita ng isang audit ang depekto sa awtorisasyon bago ang pag-atake. Walang pagbawi ng mga pondo na idineposito sa Tornado Cash ang naiulat sa publiko.
Binubuhay ng episode ang mga tanong tungkol sa kung ang mga pana-panahong audit ay nagbibigay ng sapat na proteksyon pagkatapos na pumasok ang mga kontrata sa produksyon. Natuklasan ng kamakailang pananaliksik sa industriya na lalong gusto ng mga institusyon ang patuloy na pagsubaybay kasama ng tradisyonal na security audit, lalo na para sa mga kontrata na humahawak ng mga asset ng user.
Ang isang detalyadong teknikal na ulat ay magpapahintulot sa mga tagasaliksik sa labas na kumpirmahin ang kahinaan at tukuyin kung ang katulad na code ay nananatiling aktibo sa ibang lugar. Maaari ring suriin ng mga provider ng card kung paano nila sinusubaybayan ang mga bersyon ng kontrata at nililimitahan ang mga pribilehiyong pang-administratibo sa mga nakabahaging imprastraktura.
Maaaring panatilihin ng mga user ang kontrol sa kanilang personal na wallet habang nahaharap pa rin sa mga panganib pagkatapos magdeposito ng pondo sa isang programa ng card. Ang seguridad ng mga balanse na iyon ay nakasalalay sa mga kontrata na may hawak ng collateral, ang provider na nagpapanatili sa kanila at ang mga operator na tumutugon kapag lumitaw ang mga kahinaan.
USDT
USDC