Một cuộc tấn công đang diễn ra nhằm vào nền tảng thẻ tiền điện tử Avici dựa trên Solana được cho là đã rút hơn 1 triệu USD từ các tài khoản thế chấp của người dùng, đồng thời đẩy token AVICI của nó xuống mức thấp nhất mọi thời đại.
Theo báo cáo, kẻ tấn công bị nghi ngờ đã thu thập 10.005,03 SOL, trị giá khoảng 1,07 triệu USD vào lúc 18:58 UTC, cùng với khoảng 11.600 USD USDC và USDT. Phân tích này dựa trên nhật ký giao dịch Solana và dữ liệu RPC được thu thập trong khi cuộc tấn công vẫn đang diễn ra.
Ví đã nhận được khoản tài trợ ban đầu thông qua deBridge vào lúc 13:40 UTC, khi 1,79 SOL đến từ một mạng khác. Sau khi không hoạt động trong khoảng ba giờ, địa chỉ này đã thực hiện lệnh gọi đầu tiên liên quan đến các chương trình của Avici vào lúc 16:49:48 UTC.
Nhật ký giao dịch được xem xét bởi ấn phẩm cho thấy cùng một quy trình ba bước trên các tài khoản bị ảnh hưởng. Đầu tiên, ví đã gọi SubmitSignatures thông qua chương trình ủy quyền của Avici trong một giao dịch cũng sử dụng chương trình xác minh chữ ký Ed25519 của Solana.
Tiếp theo, kẻ tấn công đã gọi AddCollateralAdmin trên chương trình thế chấp của Avici, đăng ký thêm một quản trị viên cho tài khoản người dùng. Một lệnh gọi WithdrawCollateralAsset cuối cùng sau đó đã chuyển tài sản thế chấp đến một tài khoản do kẻ tấn công kiểm soát.
Trong một giao dịch được xem xét, lệnh rút tiền đã chuyển 2.346,77 USDT từ tài khoản thế chấp của người dùng. Kẻ tấn công cũng đã chuyển đổi một số stablecoin đã thu thập thành SOL, bao gồm một giao dịch hoán đổi đã thu về 209,76 SOL.
Tính đến thời điểm kiểm tra của ấn phẩm, ví đã ký 14.672 giao dịch, trong đó 2.344 giao dịch đã thất bại. Số lượng SOL nắm giữ của ví đã tăng khoảng 2.595 token, trị giá khoảng 277.000 USD, trong khoảng thời gian 11 phút.
Nhà phân tích on-chain ẩn danh STACC cũng đã tạo một trình theo dõi trực tiếp cho các giao dịch chuyển tiền bị ảnh hưởng. Theo số liệu được trích dẫn từ trình theo dõi, 125 tài khoản gửi đã được xác định, với các giao dịch chuyển tiền riêng lẻ dao động từ khoảng 9 USDC đến hơn 26.000 USDT.
Cả Avici và một công ty bảo mật độc lập đều chưa công bố báo cáo phân tích sau sự cố (post-mortem) xác định cách kẻ tấn công có được quyền ủy quyền. Mặc dù chuỗi giao dịch cho thấy cách tiền được di chuyển, nhưng nó không xác định liệu sự cố có phải do lỗi chương trình, thông tin đăng nhập bị xâm phạm, quyền ký bị lộ hay một lỗi khác hay không.
Avici đã xác nhận sự cố trong một bài đăng trên X được công bố khoảng một giờ 53 phút sau giao dịch đầu tiên được báo cáo liên quan đến các chương trình của họ.
“Chúng tôi biết về một vấn đề ảnh hưởng đến việc rút số dư thẻ và đang theo dõi chặt chẽ tình hình.”
Công ty cho biết thêm rằng họ đang làm việc trực tiếp với các đối tác liên quan và sẽ cung cấp thông tin cập nhật ngay khi có thêm thông tin. Avici không gọi sự cố này là một cuộc tấn công khai thác (exploit), không xác nhận số tiền đã bị lấy đi hoặc nêu rõ có bao nhiêu khách hàng bị ảnh hưởng.
Một số câu hỏi khác cũng vẫn chưa được trả lời, bao gồm liệu hoạt động này đã dừng lại chưa, liệu Avici có tạm dừng các chương trình của mình hay không và liệu người dùng bị ảnh hưởng có nhận được bồi thường hay không. Công ty chưa tiết lộ liệu bất kỳ khóa ký (signing keys) hoặc tài khoản quản trị (administrative accounts) nào đã bị xâm phạm.
Người dùng đã báo cáo về việc mất số dư trên mạng xã hội trước khi Avici đưa ra tuyên bố của mình. Một người dùng đáng chú ý đã nói rằng toàn bộ số dư Avici của họ đã bị rút cạn trong khi họ chờ thông tin từ dự án.
Sự cố liên quan đến các chương trình thế chấp thẻ và ủy quyền của Avici chứ không phải bản thân mạng Solana. Không có báo cáo nào hiện có xác định lỗ hổng trong blockchain cơ bản của Solana.
Cả hai chương trình Avici đều có thể nâng cấp và chia sẻ cùng một quyền quản lý nâng cấp (upgrade authority), theo các báo cáo. Quyền này được cho là một tài khoản Solana tiêu chuẩn chứ không phải tài khoản đa chữ ký (multisignature account), mặc dù chưa có bằng chứng nào cho thấy quyền quản lý nâng cấp này đã gây ra hoặc cho phép các giao dịch rút tiền.
Các kiểm soát hoạt động đã nhận được sự chú ý ngày càng tăng khi các cuộc tấn công vượt ra ngoài các lỗ hổng chứa trong mã hợp đồng thông minh. Vào tháng 7, crypto.news đã báo cáo các phát hiện bảo mật cho thấy các khóa, người ký và cơ sở hạ tầng bị xâm phạm chiếm 88,3% trong số khoảng 764 triệu USD bị đánh cắp trong quý 2 năm 2026. Báo cáo của Hacken được trích dẫn trong bài viết cho thấy chỉ 4% các dự án được theo dõi kết hợp kiểm toán, chương trình săn lỗi (bug bounties) đang hoạt động và giám sát của bên thứ ba.
Avici mô tả sản phẩm của mình là một ví tự quản lý (self-custodial wallet) được kết nối với thẻ tín dụng Visa an toàn. Danh sách trên Apple App Store của họ tuyên bố rằng người dùng vẫn giữ quyền kiểm soát và Avici không bao giờ giữ tiền của họ.
Theo mô hình thẻ, khách hàng gửi tiền điện tử vào các tài khoản thế chấp và nhận được hạn mức tín dụng tương ứng. Các giao dịch mua làm giảm số dư thẻ khả dụng, trong khi tài sản thế chấp liên quan sau đó được sử dụng để thanh toán.
Khả năng được báo cáo về việc thêm một quản trị viên khác và loại bỏ tài sản thế chấp chưa sử dụng đặt ra câu hỏi về cách các kiểm soát ủy quyền của Avici thực thi mô hình tự quản lý tài sản được quảng cáo của họ. Một phát hiện kỹ thuật sẽ yêu cầu Avici hoặc một công ty bảo mật độc lập giải thích lý do tại sao các chữ ký của kẻ tấn công lại được chấp nhận.
Tài liệu của Avici xác định Rain là một đối tác tham gia vào dịch vụ thẻ của họ. Rain cung cấp cơ sở hạ tầng thanh toán stablecoin và làm việc với các tổ chức được cấp phép để phát hành thẻ được kết nối với Visa và Mastercard. Phân tích giao dịch có sẵn chỉ ra các chương trình Solana của Avici, và cả Avici lẫn Rain đều chưa nói rằng hệ thống của Rain hoặc Visa đã bị xâm phạm.
Sự phân biệt này rất quan trọng đối với người dùng vì một sản phẩm thanh toán tự quản lý tài sản được cho là sẽ giữ tài sản chưa chi tiêu dưới sự kiểm soát của chủ ví. Tangem đã giới thiệu một mô hình tương tự vào tháng 11 năm 2025, với việc chi tiêu USDC on-chain thông qua thẻ Visa ảo trong khi người dùng vẫn giữ quyền giám sát tài sản của họ.
Cơ sở hạ tầng thanh toán cũng đã phải đối mặt với các sự cố riêng biệt liên quan đến ví. Vào tháng 7, các nhà phân tích on-chain đã xác định các dòng tiền chảy ra đáng ngờ vượt quá 9,7 triệu USD từ các ví được liên kết với nhà cung cấp thanh toán stablecoin Triple-A trên các mạng bao gồm Solana, Ethereum, TRON và TON. Triple-A chưa xác nhận liệu tài sản của khách hàng có liên quan hay không khi báo cáo được công bố.
AVICI đã giảm 49,4% trong hơn 24 giờ xuống còn 0,2175 USD khi các báo cáo về việc rút tiền lan rộng, theo dữ liệu CoinGecko được trích dẫn vào thời điểm đó. Đợt bán tháo đã làm giảm vốn hóa thị trường của token xuống còn khoảng 2,84 triệu USD và đẩy giá của nó xuống mức thấp kỷ lục.
Khối lượng giao dịch đạt khoảng 656.543 USD trong cùng khoảng thời gian 24 giờ. Hầu hết giao dịch AVICI diễn ra thông qua công cụ tạo lập thị trường tự động futarchy của MetaDAO, trong khi LBank, KCEX và MEXC chiếm phần còn lại của hoạt động được báo cáo.
CoinGecko liệt kê mức cao kỷ lục của AVICI là 7,56 USD, đạt được vào ngày 26 tháng 11 năm 2025. Mức thấp trong ngày xảy ra sự cố đã khiến token giảm khoảng 97% so với đỉnh đó.
Avici Inc. là một công ty Hoa Kỳ có địa chỉ tại San Francisco trên trang web của mình, trong khi chính sách quyền riêng tư của họ xác định đây là một công ty Delaware. Nền tảng này cũng cung cấp các điều khoản thẻ riêng biệt cho khách hàng Hoa Kỳ, tạo ra rủi ro trực tiếp cho người dùng Mỹ đủ điều kiện sử dụng ví và dịch vụ thẻ an toàn của họ.
Công ty đã huy động được 3,5 triệu USD thông qua đợt bán token MetaDAO có giới hạn vào tháng 10 năm 2025. Hồ sơ gây quỹ của MetaDAO cho thấy 7.352 người đóng góp đã cam kết khoảng 34,23 triệu USD, nhưng Avici đã trả lại khoảng 89,8% số USDC đã cam kết sau khi áp dụng giới hạn bán hàng.
Đợt chào bán đã định giá AVICI ở mức 0,35 USD và định giá dự án ở mức khoảng 4,52 triệu USD trên cơ sở pha loãng hoàn toàn (fully diluted basis). Avici đã phát hành 10 triệu token thông qua đợt bán hàng, chiếm khoảng 77,5% trong tổng nguồn cung 12,9 triệu token của nó.
AVICI
SOL