Триваюча атака на Solana-базовану криптокарткову платформу Avici, як повідомляється, вивела понад 1 мільйон доларів із заставних рахунків користувачів, тоді як її токен AVICI впав до історичного мінімуму.
Згідно з повідомленнями, підозрюваний зловмисник зібрав 10 005,03 SOL, вартістю близько 1,07 мільйона доларів о 18:58 за UTC, а також приблизно 11 600 доларів у USDC та USDT. Цей аналіз базувався на журналах транзакцій Solana та даних RPC, зібраних під час тривання атаки.
Гаманець отримав своє початкове фінансування через deBridge о 13:40 за UTC, коли 1,79 SOL надійшло з іншої мережі. Залишаючись неактивною близько трьох годин, адреса здійснила свій перший виклик, що стосується програм Avici, о 16:49:48 за UTC.
Журнали транзакцій, переглянуті виданням, показали той самий триетапний процес для всіх постраждалих рахунків. Спочатку гаманець викликав SubmitSignatures через програму авторизації Avici у транзакції, яка також використовувала програму верифікації підпису Ed25519 Solana.
Далі зловмисник викликав AddCollateralAdmin у програмі забезпечення Avici, реєструючи додаткового адміністратора для облікового запису користувача. Останній виклик WithdrawCollateralAsset потім переказав заставу на рахунок, контрольований зловмисником.
В одній переглянутій транзакції інструкція на виведення перемістила 2 346,77 USDT з заставного рахунку користувача. Зловмисник також конвертував частину зібраних стейблкоїнів у SOL, включаючи один обмін, який повернув 209,76 SOL.
До контрольного пункту публікації гаманець підписав 14 672 транзакції, з яких 2 344 не вдалися. Його активи SOL зросли приблизно на 2 595 токенів, тоді вартістю близько 277 000 доларів, протягом 11-хвилинного періоду.
Анонімний ончейн-аналітик STACC також створив відстежувач у реальному часі для постраждалих переказів. Згідно з даними, наведеними з відстежувача, було ідентифіковано 125 відправних рахунків, з індивідуальними переказами від приблизно 9 USDC до понад 26 000 USDT.
Ні Avici, ні незалежна компанія з безпеки не опублікували постмортем, що ідентифікує, як зловмисник отримав авторизацію. Хоча послідовність транзакцій показує, як переміщувалися кошти, вона не встановлює, чи стався інцидент внаслідок недоліку в програмі, скомпрометованих облікових даних, розкритого повноважного органу підпису чи іншого збою.
Avici визнала інцидент у дописі на X, опублікованому приблизно через одну годину 53 хвилини після першої заявленої транзакції, що стосується її програм.
«Ми знаємо про проблему, що впливає на виведення балансу картки, і уважно стежимо за ситуацією.»
Компанія додала, що працює безпосередньо з відповідними партнерами та надасть оновлення, як тільки з'явиться більше інформації. Avici не назвала інцидент експлойтом, не підтвердила, скільки було вилучено, і не вказала, скільки клієнтів постраждало.
Кілька інших питань також залишаються без відповіді, зокрема, чи припинилася діяльність, чи призупинила Avici свої програми, і чи отримають постраждалі користувачі компенсацію. Компанія не розголосила, чи були скомпрометовані будь-які ключі підпису або адміністративні облікові записи.
Користувачі повідомляли про відсутні баланси в соціальних мережах до того, як Avici опублікувала свою заяву. Один користувач, зокрема, зазначив, що весь його баланс Avici було виведено, поки він чекав інформації від проєкту.
Інцидент стосується програм забезпечення картки та авторизації Avici, а не самої мережі Solana. Жоден доступний звіт не ідентифікував вразливість у базовому блокчейні Solana.
Обидві програми Avici були оновлюваними та мали однакові повноваження на оновлення, згідно з повідомленнями. Повідомляється, що повноваження на оновлення були стандартним обліковим записом Solana, а не мультисигнатурним рахунком, хоча наразі немає доказів того, що повноваження на оновлення спричинили або дозволили виведення коштів.
Операційний контроль привернув підвищену увагу, оскільки атаки виходять за межі недоліків, що містяться в коді смарт-контрактів. У липні crypto.news повідомило про висновки щодо безпеки, які показують, що скомпрометовані ключі, підписувачі та інфраструктура складали 88,3% з приблизно 764 мільйонів доларів, викрадених протягом другого кварталу 2026 року. У звіті Hacken, згаданому в статті, було виявлено, що лише 4% відстежуваних проєктів поєднували аудити, активні програми винагород за виявлення вразливостей та сторонній моніторинг.
Avici описує свій продукт як гаманець із самостійним зберіганням, підключений до захищеної кредитної картки Visa. У списку її додатків в Apple App Store зазначено, що користувачі залишаються під контролем, і Avici ніколи не зберігає їхні кошти.
За моделлю картки клієнти вносять криптоактиви на заставні рахунки та отримують відповідний кредитний ліміт. Покупки зменшують доступний баланс картки, тоді як відповідна застава пізніше використовується для розрахунків.
Заявлена можливість додати іншого адміністратора та вилучити невитрачену заставу викликає питання про те, як засоби контролю авторизації Avici забезпечують її рекламовану модель самостійного зберігання. Технічне виявлення вимагатиме від Avici або незалежної компанії з безпеки пояснити, чому були прийняті подання підписів зловмисника.
Документація Avici ідентифікує Rain як партнера, що бере участь у її картковому сервісі. Rain надає інфраструктуру платежів стейблкоїнами та співпрацює з ліцензованими установами для випуску карток, підключених до Visa та Mastercard. Доступний аналіз транзакцій вказує на програми Solana від Avici, і ні Avici, ні Rain не заявили, що системи Rain або Visa були скомпрометовані.
Ця відмінність важлива для користувачів, оскільки платіжний продукт із самостійним зберіганням має тримати невитрачені активи під контролем власника гаманця. Tangem запровадила подібну модель у листопаді 2025 року, з ончейн-витратами USDC через віртуальну картку Visa, тоді як користувачі зберігали свої кошти.
Платіжна інфраструктура також стикалася з окремими інцидентами, пов'язаними з гаманцями. У липні ончейн-аналітики виявили підозрілі відтоки, що перевищують 9,7 мільйона доларів, з гаманців, пов'язаних з постачальником платіжних послуг стейблкоїнів Triple-A в мережах, включаючи Solana, Ethereum, TRON та TON. Triple-A не підтвердила, чи були залучені активи клієнтів, коли звіт було опубліковано.
AVICI впав на 49,4% за 24 години до $0,2175, коли поширилися повідомлення про виведення коштів, згідно з даними CoinGecko, наведеними на той час. Розпродаж зменшив ринкову капіталізацію токена до приблизно 2,84 мільйона доларів і опустив його ціну до рекордно низького рівня.
Обсяг торгів досяг близько 656 543 доларів за той самий 24-годинний період. Більшість торгів AVICI відбувалися через футархічний автоматичний маркет-мейкер MetaDAO, тоді як LBank, KCEX та MEXC відповідали за решту зафіксованої діяльності.
CoinGecko вказує рекордний максимум AVICI на рівні $7,56, досягнутий 26 листопада 2025 року. Мінімум у день інциденту залишив токен приблизно на 97% нижче цього піку.
Avici Inc. — це американська компанія, яка вказує адресу в Сан-Франциско на своєму веб-сайті, тоді як її політика конфіденційності ідентифікує її як корпорацію Делавер. Платформа також надає окремі умови картки для клієнтів із США, створюючи прямий доступ для відповідних американських користувачів її гаманця та захищених карткових послуг.
Компанія залучила 3,5 мільйона доларів через обмежений продаж токенів MetaDAO у жовтні 2025 року. Записи MetaDAO про збір коштів показують, що 7 352 вкладники зобов'язалися надати приблизно 34,23 мільйона доларів, але Avici повернула близько 89,8% обіцяних USDC після застосування ліміту продажу.
Пропозиція оцінила AVICI в $0,35 і оцінила проєкт приблизно в 4,52 мільйона доларів на повністю розводненій основі. Avici випустила 10 мільйонів токенів через продаж, що становить близько 77,5% від її запасу в 12,9 мільйона токенів.
AVICI
SOL
