सोलाना-आधारित क्रिप्टो कार्ड प्लेटफॉर्म एविसी (Avici) के खिलाफ चल रहे एक हमले में कथित तौर पर उपयोगकर्ता के संपार्श्विक खातों से $1 मिलियन से अधिक निकाल लिए गए हैं, जिसके कारण इसका एविसी (AVICI) टोकन सर्वकालिक निचले स्तर पर पहुंच गया है।

एविसी हमलावर निकासी से पहले प्रशासकों को जोड़ता है

रिपोर्टों के अनुसार, संदिग्ध हमलावर ने 18:58 यूटीसी (UTC) पर 10,005.03 एसओएल (SOL) एकत्र किए थे, जिसकी कीमत लगभग $1.07 मिलियन थी, साथ ही लगभग $11,600 मूल्य के यूएसडीसी (USDC) और यूएसडीटी (USDT) भी थे। इसका विश्लेषण सोलाना (Solana) लेनदेन लॉग और आरपीसी (RPC) डेटा पर आधारित था, जिसे हमले के दौरान एकत्र किया गया था।

वॉलेट को अपना प्रारंभिक वित्तपोषण 13:40 यूटीसी पर डीब्रिज (deBridge) के माध्यम से मिला, जब दूसरे नेटवर्क से 1.79 एसओएल प्राप्त हुए। लगभग तीन घंटे तक निष्क्रिय रहने के बाद, पते ने 16:49:48 यूटीसी पर एविसी के कार्यक्रमों से संबंधित अपना पहला कॉल किया।

प्रकाशन द्वारा समीक्षा किए गए लेनदेन लॉग ने प्रभावित खातों में समान तीन-चरणीय प्रक्रिया दिखाई। सबसे पहले, वॉलेट ने एविसी के प्राधिकरण कार्यक्रम के माध्यम से SubmitSignatures को कॉल किया, एक ऐसे लेनदेन में जिसने सोलाना के Ed25519 हस्ताक्षर सत्यापन कार्यक्रम का भी उपयोग किया।

इसके बाद, हमलावर ने एविसी के संपार्श्विक कार्यक्रम पर AddCollateralAdmin को कॉल किया, जिससे उपयोगकर्ता के खाते के लिए एक अतिरिक्त प्रशासक पंजीकृत हो गया। फिर एक अंतिम WithdrawCollateralAsset कॉल ने संपार्श्विक को हमलावर द्वारा नियंत्रित एक खाते में स्थानांतरित कर दिया।

एक समीक्षा किए गए लेनदेन में, निकासी निर्देश ने उपयोगकर्ता के संपार्श्विक खाते से 2,346.77 यूएसडीटी (USDT) स्थानांतरित किए। हमलावर ने कुछ एकत्रित स्टेबलकॉइन को एसओएल (SOL) में भी परिवर्तित किया, जिसमें एक स्वैप भी शामिल था जिसने 209.76 एसओएल वापस किए।

प्रकाशन के चेकपॉइंट तक, वॉलेट ने 14,672 लेनदेन पर हस्ताक्षर किए थे, जिनमें से 2,344 विफल रहे थे। इसके एसओएल होल्डिंग्स में लगभग 2,595 टोकन की वृद्धि हुई, जिनकी कीमत उस समय लगभग $277,000 थी, यह सब 11 मिनट की अवधि के दौरान हुआ।

गुमनाम ऑन-चेन विश्लेषक स्टैक (STACC) ने प्रभावित स्थानान्तरणों के लिए एक लाइव ट्रैकर भी बनाया। ट्रैकर से उद्धृत आंकड़ों के अनुसार, 125 भेजने वाले खातों की पहचान की गई थी, जिसमें व्यक्तिगत स्थानान्तरण लगभग 9 यूएसडीसी (USDC) से लेकर 26,000 यूएसडीटी से अधिक तक थे।

न तो एविसी और न ही किसी स्वतंत्र सुरक्षा कंपनी ने यह पहचानते हुए कोई पोस्टमॉर्टम प्रकाशित किया है कि हमलावर ने प्राधिकरण कैसे प्राप्त किया। हालांकि लेनदेन अनुक्रम से पता चलता है कि धन कैसे चला गया, यह स्थापित नहीं करता है कि घटना किसी प्रोग्राम दोष, समझौता किए गए क्रेडेंशियल (credentials), एक उजागर हस्ताक्षर प्राधिकरण, या किसी अन्य विफलता के कारण हुई।

एविसी ने कार्ड निकासी समस्या की पुष्टि की

एविसी ने अपने कार्यक्रमों से संबंधित पहली रिपोर्ट की गई लेनदेन के लगभग एक घंटे और 53 मिनट बाद प्रकाशित एक एक्स (X) पोस्ट में घटना को स्वीकार किया।

“हम कार्ड बैलेंस निकासी को प्रभावित करने वाली एक समस्या से अवगत हैं और स्थिति पर बारीकी से नज़र रख रहे हैं।”

कंपनी ने कहा कि वह संबंधित भागीदारों के साथ सीधे काम कर रही है और अधिक जानकारी उपलब्ध होने पर अपडेट प्रदान करेगी। एविसी ने इस घटना को एक एक्सप्लॉइट (exploit) नहीं कहा, न ही यह पुष्टि की कि कितना लिया गया था या कितने ग्राहक प्रभावित हुए थे।

कई अन्य प्रश्न भी अनुत्तरित रहते हैं, जिनमें यह भी शामिल है कि क्या गतिविधि बंद हो गई है, क्या एविसी ने अपने कार्यक्रमों को रोक दिया है, और क्या प्रभावित उपयोगकर्ताओं को मुआवजा मिलेगा। कंपनी ने यह खुलासा नहीं किया है कि कोई हस्ताक्षर कुंजी या प्रशासनिक खाते से समझौता किया गया था या नहीं।

एविसी द्वारा अपना बयान जारी करने से पहले उपयोगकर्ताओं ने सोशल मीडिया पर शेष राशि गायब होने की सूचना दी थी। एक उपयोगकर्ता ने विशेष रूप से कहा कि परियोजना से जानकारी का इंतजार करते समय उनका पूरा एविसी बैलेंस खाली कर दिया गया था।

यह घटना सोलाना नेटवर्क के बजाय एविसी के कार्ड संपार्श्विक और प्राधिकरण कार्यक्रमों से संबंधित है। किसी भी उपलब्ध रिपोर्ट ने सोलाना की अंतर्निहित ब्लॉकचेन (blockchain) में भेद्यता की पहचान नहीं की है।

रिपोर्टों के अनुसार, एविसी के दोनों कार्यक्रम अपग्रेडेबल (upgradeable) थे और एक ही अपग्रेड अथॉरिटी (upgrade authority) साझा करते थे। यह अथॉरिटी कथित तौर पर एक मल्टीसिग्नेचर (multisignature) खाते के बजाय एक मानक सोलाना खाता था, हालांकि अभी तक कोई सबूत नहीं मिला है जो यह दर्शाता हो कि अपग्रेड अथॉरिटी ने निकासी का कारण बना या उसे सक्षम किया।

ऑपरेशनल नियंत्रणों पर अधिक ध्यान दिया गया है क्योंकि हमले स्मार्ट कॉन्ट्रैक्ट कोड में निहित खामियों से आगे बढ़ गए हैं। जुलाई में, crypto.news ने सुरक्षा निष्कर्षों की रिपोर्ट दी जिसमें दिखाया गया था कि 2026 की दूसरी तिमाही के दौरान चोरी हुए लगभग $764 मिलियन में से 88.3% समझौता किए गए कीज़ (keys), साइनर्स (signers) और इंफ्रास्ट्रक्चर (infrastructure) के कारण थे। लेख में उद्धृत हैकन (Hacken) रिपोर्ट में पाया गया कि ट्रैक किए गए परियोजनाओं में से केवल 4% ने ऑडिट (audits), सक्रिय बग बाउंटी (bug bounties) और तीसरे पक्ष की निगरानी को जोड़ा।

एविसी हमला अपने स्व-कस्टडी के दावों को चुनौती देता है

एविसी अपने उत्पाद को एक स्व-कस्टोडियल वॉलेट (self-custodial wallet) के रूप में वर्णित करता है जो एक सुरक्षित वीज़ा (Visa) क्रेडिट कार्ड से जुड़ा है। इसकी ऐप्पल ऐप स्टोर (Apple App Store) लिस्टिंग में कहा गया है कि उपयोगकर्ता नियंत्रण में रहते हैं और एविसी कभी भी उनके फंड को नहीं रखता है।

कार्ड मॉडल के तहत, ग्राहक संपार्श्विक खातों में क्रिप्टो जमा करते हैं और एक संबंधित क्रेडिट सीमा प्राप्त करते हैं। खरीदारी उपलब्ध कार्ड बैलेंस को कम करती है, जबकि संबंधित संपार्श्विक का उपयोग बाद में निपटान के लिए किया जाता है।

दूसरे प्रशासक को जोड़ने और अप्रयुक्त संपार्श्विक को हटाने की कथित क्षमता इस बारे में सवाल उठाती है कि एविसी के प्राधिकरण नियंत्रण अपने विज्ञापित स्व-कस्टडी मॉडल को कैसे लागू करते हैं। एक तकनीकी निष्कर्ष के लिए एविसी या एक स्वतंत्र सुरक्षा कंपनी को यह समझाने की आवश्यकता होगी कि हमलावर के हस्ताक्षर सबमिशन क्यों स्वीकार किए गए।

एविसी के दस्तावेज़ रेन (Rain) को अपने कार्ड सेवा में शामिल एक भागीदार के रूप में पहचानते हैं। रेन स्टेबलकॉइन भुगतान अवसंरचना प्रदान करता है और वीज़ा और मास्टरकार्ड (Mastercard) से जुड़े कार्ड जारी करने के लिए लाइसेंस प्राप्त संस्थानों के साथ काम करता है। उपलब्ध लेनदेन विश्लेषण एविसी के सोलाना कार्यक्रमों की ओर इशारा करता है, और न तो एविसी और न ही रेन ने कहा है कि रेन या वीज़ा के सिस्टम से समझौता किया गया था।

यह अंतर उपयोगकर्ताओं के लिए महत्वपूर्ण है क्योंकि एक स्व-कस्टोडियल भुगतान उत्पाद को खर्च न किए गए एसेट्स (assets) को वॉलेट मालिक के नियंत्रण में रखना चाहिए। टैंगम (Tangem) ने नवंबर 2025 में इसी तरह का एक मॉडल पेश किया था, जिसमें वर्चुअल वीज़ा कार्ड के माध्यम से ऑन-चेन यूएसडीसी (USDC) खर्च किया जा सकता था जबकि उपयोगकर्ता अपने फंड की हिरासत बरकरार रखते थे।

भुगतान अवसंरचना को भी अलग वॉलेट-संबंधित घटनाओं का सामना करना पड़ा है। जुलाई में, ऑन-चेन विश्लेषकों ने सोलाना, इथेरियम (Ethereum), ट्रॉन (TRON) और टॉन (TON) सहित विभिन्न नेटवर्कों पर स्टेबलकॉइन भुगतान प्रदाता ट्रिपल-ए (Triple-A) से जुड़े वॉलेट से $9.7 मिलियन से अधिक के संदिग्ध बहिर्वाह की पहचान की। ट्रिपल-ए ने रिपोर्ट प्रकाशित होने पर यह पुष्टि नहीं की थी कि क्या ग्राहक संपत्तियां इसमें शामिल थीं।

एविसी 49% गिरकर सर्वकालिक निचले स्तर पर

विभिन्न रिपोर्टों के फैलने के बाद एविसी (AVICI) 24 घंटे में 49.4% गिरकर $0.2175 पर आ गया, जैसा कि उस समय उद्धृत कॉइनगेको (CoinGecko) डेटा के अनुसार है। इस बिकवाली ने टोकन के बाजार पूंजीकरण (market capitalization) को लगभग $2.84 मिलियन तक कम कर दिया और इसकी कीमत को रिकॉर्ड निचले स्तर पर धकेल दिया।

इसी 24 घंटे की अवधि के दौरान ट्रेडिंग वॉल्यूम लगभग $656,543 तक पहुंच गया। अधिकांश एविसी ट्रेडिंग मेटाडीएओ (MetaDAO) के फुटार्की (futarchy) ऑटोमेटेड मार्केट मेकर (automated market maker) के माध्यम से हुई, जबकि एल-बैंक (LBank), केसीईएक्स (KCEX) और एमईएक्ससी (MEXC) ने शेष रिपोर्ट की गई गतिविधि का हिसाब दिया।

कॉइनगेको एविसी के रिकॉर्ड उच्च को $7.56 पर सूचीबद्ध करता है, जो 26 नवंबर, 2025 को पहुंचा था। घटना के दिन के निचले स्तर ने टोकन को उस शिखर से लगभग 97% नीचे छोड़ दिया।

एविसी इंक. (Avici Inc.) एक अमेरिकी कंपनी है जो अपनी वेबसाइट पर सैन फ्रांसिस्को का पता सूचीबद्ध करती है, जबकि इसकी गोपनीयता नीति इसे डेलावेयर (Delaware) निगम के रूप में पहचानती है। यह प्लेटफॉर्म अमेरिकी ग्राहकों के लिए अलग कार्ड शर्तें भी प्रदान करता है, जिससे इसके वॉलेट और सुरक्षित कार्ड सेवाओं के पात्र अमेरिकी उपयोगकर्ताओं के लिए सीधा जोखिम पैदा होता है।

कंपनी ने अक्टूबर 2025 में एक कैप्ड मेटाडीएओ टोकन बिक्री के माध्यम से $3.5 मिलियन जुटाए। मेटाडीएओ के धन उगाही रिकॉर्ड से पता चलता है कि 7,352 योगदानकर्ताओं ने लगभग $34.23 मिलियन का वादा किया था, लेकिन एविसी ने बिक्री कैप लागू करने के बाद गिरवी रखे गए यूएसडीसी का लगभग 89.8% वापस कर दिया।

इस पेशकश में एविसी का मूल्य $0.35 रखा गया था और पूरी तरह से पतला आधार पर परियोजना का मूल्य लगभग $4.52 मिलियन था। एविसी ने बिक्री के माध्यम से 10 मिलियन टोकन जारी किए, जो इसकी 12.9 मिलियन टोकन आपूर्ति का लगभग 77.5% दर्शाता है।