Sebuah serangan berkelanjutan terhadap platform kartu kripto berbasis Solana, Avici, dilaporkan telah menguras lebih dari $1 juta dari akun agunan pengguna sambil menjatuhkan token AVICI-nya ke titik terendah sepanjang masa.
Menurut laporan, penyerang yang dicurigai telah mengumpulkan 10.005,03 SOL, senilai sekitar $1,07 juta pada pukul 18:58 UTC, bersama dengan sekitar $11.600 dalam USDC dan USDT. Analisisnya didasarkan pada log transaksi Solana dan data RPC yang dikumpulkan saat serangan masih berlangsung.
Dompet tersebut menerima pendanaan awal melalui deBridge pada pukul 13:40 UTC, ketika 1,79 SOL tiba dari jaringan lain. Setelah tidak aktif selama sekitar tiga jam, alamat tersebut melakukan panggilan pertamanya yang melibatkan program Avici pada pukul 16:49:48 UTC.
Log transaksi yang ditinjau oleh publikasi menunjukkan proses tiga langkah yang sama di seluruh akun yang terpengaruh. Pertama, dompet memanggil SubmitSignatures melalui program otorisasi Avici dalam sebuah transaksi yang juga menggunakan program verifikasi tanda tangan Ed25519 Solana.
Selanjutnya, penyerang memanggil AddCollateralAdmin pada program agunan Avici, mendaftarkan administrator tambahan untuk akun pengguna. Panggilan WithdrawCollateralAsset terakhir kemudian mentransfer agunan ke akun yang dikendalikan oleh penyerang.
Dalam satu transaksi yang ditinjau, instruksi penarikan memindahkan 2.346,77 USDT dari akun agunan pengguna. Penyerang juga mengonversi beberapa stablecoin yang terkumpul menjadi SOL, termasuk satu swap yang mengembalikan 209,76 SOL.
Pada titik pemeriksaan publikasi, dompet tersebut telah menandatangani 14.672 transaksi, di mana 2.344 di antaranya gagal. Kepemilikan SOL-nya meningkat sekitar 2.595 token, yang saat itu bernilai sekitar $277.000, selama periode 11 menit.
Analis on-chain anonim STACC juga membuat pelacak langsung untuk transfer yang terpengaruh. Menurut angka yang dikutip dari pelacak, 125 akun pengirim telah diidentifikasi, dengan transfer individu berkisar dari sekitar 9 USDC hingga lebih dari 26.000 USDT.
Baik Avici maupun perusahaan keamanan independen belum menerbitkan laporan pasca-mortem yang mengidentifikasi bagaimana penyerang memperoleh otorisasi. Meskipun urutan transaksi menunjukkan bagaimana dana bergerak, ini tidak menetapkan apakah insiden tersebut berasal dari cacat program, kredensial yang disusupi, otoritas penandatanganan yang terekspos, atau kegagalan lainnya.
Avici mengakui insiden tersebut dalam postingan X yang diterbitkan sekitar satu jam 53 menit setelah transaksi pertama yang dilaporkan melibatkan programnya.
“Kami menyadari adanya masalah yang memengaruhi penarikan saldo kartu dan memantau situasi dengan cermat.”
Perusahaan menambahkan bahwa mereka bekerja secara langsung dengan mitra terkait dan akan memberikan pembaruan setelah informasi lebih lanjut tersedia. Avici tidak menyebut insiden tersebut sebagai eksploitasi, mengonfirmasi berapa banyak yang telah diambil atau menyatakan berapa banyak pelanggan yang terpengaruh.
Beberapa pertanyaan lain juga belum terjawab, termasuk apakah aktivitas telah berhenti, apakah Avici telah menghentikan programnya, dan apakah pengguna yang terpengaruh akan menerima kompensasi. Perusahaan belum mengungkapkan apakah ada kunci penandatanganan atau akun administratif yang disusupi.
Pengguna telah melaporkan saldo yang hilang di media sosial sebelum Avici merilis pernyataannya. Salah satu pengguna secara khusus mengatakan seluruh saldo Avici mereka telah dikuras saat mereka menunggu informasi dari proyek tersebut.
Insiden tersebut menyangkut program agunan dan otorisasi kartu Avici, bukan jaringan Solana itu sendiri. Tidak ada laporan yang tersedia yang mengidentifikasi kerentanan dalam blockchain Solana yang mendasarinya.
Kedua program Avici dapat diupgrade dan memiliki otoritas upgrade yang sama, menurut laporan. Otoritas tersebut dilaporkan adalah akun Solana standar daripada akun multisignature, meskipun belum ada bukti yang menunjukkan bahwa otoritas upgrade tersebut menyebabkan atau memungkinkan penarikan.
Kontrol operasional telah menerima perhatian yang meningkat karena serangan bergerak melampaui cacat yang terkandung dalam kode smart contract. Pada bulan Juli, crypto.news melaporkan temuan keamanan yang menunjukkan bahwa kunci, penandatangan, dan infrastruktur yang disusupi menyumbang 88,3% dari sekitar $764 juta yang dicuri selama kuartal kedua tahun 2026. Laporan Hacken yang dikutip dalam artikel tersebut menemukan bahwa hanya 4% dari proyek yang dilacak menggabungkan audit, bug bounty aktif, dan pemantauan pihak ketiga.
Avici menggambarkan produknya sebagai dompet self-custodial yang terhubung ke kartu kredit Visa yang aman. Daftar Apple App Store-nya menyatakan bahwa pengguna tetap memegang kendali dan Avici tidak pernah menyimpan dana mereka.
Di bawah model kartu, pelanggan menyetor kripto ke akun agunan dan menerima batas kredit yang sesuai. Pembelian mengurangi saldo kartu yang tersedia, sementara agunan terkait kemudian digunakan untuk penyelesaian.
Kemampuan yang dilaporkan untuk menambahkan administrator lain dan menghapus agunan yang tidak terpakai menimbulkan pertanyaan tentang bagaimana kontrol otorisasi Avici menerapkan model self-custody yang diiklankannya. Temuan teknis akan membutuhkan Avici atau perusahaan keamanan independen untuk menjelaskan mengapa penyerahan tanda tangan penyerang diterima.
Dokumentasi Avici mengidentifikasi Rain sebagai mitra yang terlibat dalam layanan kartunya. Rain menyediakan infrastruktur pembayaran stablecoin dan bekerja dengan lembaga berlisensi untuk menerbitkan kartu yang terhubung ke Visa dan Mastercard. Analisis transaksi yang tersedia menunjuk ke program Solana Avici, dan baik Avici maupun Rain belum menyatakan bahwa sistem Rain atau Visa telah disusupi.
Perbedaan ini penting bagi pengguna karena produk pembayaran self-custodial seharusnya menjaga aset yang tidak terpakai di bawah kendali pemilik dompet. Tangem memperkenalkan model serupa pada November 2025, dengan pengeluaran USDC on-chain melalui kartu Visa virtual sementara pengguna mempertahankan kendali atas dana mereka.
Infrastruktur pembayaran juga menghadapi insiden terkait dompet yang terpisah. Pada bulan Juli, analis on-chain mengidentifikasi aliran keluar yang mencurigakan melebihi $9,7 juta dari dompet yang terhubung ke penyedia pembayaran stablecoin Triple-A di berbagai jaringan termasuk Solana, Ethereum, TRON, dan TON. Triple-A belum mengonfirmasi apakah aset pelanggan terlibat ketika laporan tersebut diterbitkan.
AVICI jatuh 49,4% selama 24 jam menjadi $0,2175 saat laporan penarikan menyebar, menurut data CoinGecko yang dikutip pada saat itu. Penjualan tersebut mengurangi kapitalisasi pasar token menjadi sekitar $2,84 juta dan mendorong harganya ke rekor terendah.
Volume perdagangan mencapai sekitar $656.543 selama periode 24 jam yang sama. Sebagian besar perdagangan AVICI terjadi melalui pembuat pasar otomatis futarchy MetaDAO, sementara LBank, KCEX, dan MEXC menyumbang sisa aktivitas yang dilaporkan.
CoinGecko mencantumkan rekor tertinggi AVICI di $7,56, yang dicapai pada 26 November 2025. Titik terendah pada hari insiden membuat token tersebut sekitar 97% di bawah puncak itu.
Avici Inc. adalah perusahaan AS yang mencantumkan alamat San Francisco di situs webnya, sementara kebijakan privasinya mengidentifikasinya sebagai perusahaan Delaware. Platform ini juga menyediakan ketentuan kartu terpisah untuk pelanggan AS, menciptakan eksposur langsung bagi pengguna Amerika yang memenuhi syarat untuk layanan dompet dan kartu keamanannya.
Perusahaan mengumpulkan $3,5 juta melalui penjualan token MetaDAO yang dibatasi pada Oktober 2025. Catatan penggalangan dana MetaDAO menunjukkan bahwa 7.352 kontributor berkomitmen sekitar $34,23 juta, tetapi Avici mengembalikan sekitar 89,8% dari USDC yang dijanjikan setelah menerapkan batasan penjualan.
Penawaran tersebut memberi harga AVICI sebesar $0,35 dan menilai proyek tersebut sekitar $4,52 juta berdasarkan basis yang terdilusi penuh. Avici menerbitkan 10 juta token melalui penjualan, mewakili sekitar 77,5% dari pasokan 12,9 juta tokennya.
