Avici, ein auf Solana basierendes Neobank, hat zugesagt, jedes betroffene Kartenguthaben nach einer Sicherheitsverletzung am 28. August, bei der Nutzer Gelder verloren, vollständig zu erstatten. Einen Tag später traf dieselbe Angriffswelle das Ethereum-Leihprotokoll Ajna. Die aufeinanderfolgenden Vorfälle verlängern eine schwierige Phase für das dezentrale Finanzwesen, in der selbst auditierte Protokolle wiederholt Nutzer-Gelder durch Fehler außerhalb des Geltungsbereichs ihrer Audits verloren haben.

„Alle betroffenen Kartenguthaben werden vollständig erstattet“

Die Rückerstattungszusage erfolgte in einem Beitrag auf X vom 28. August, in dem Avici mitteilte, dass sein Kartenpartner Rain den Vorfall auf eine fehlerhafte Version eines Solana-Karten-Kontrakts zurückgeführt habe. Avici erklärte, der Kontrakt sei von dem Neobank „und einer kleinen Anzahl anderer Programme“ genutzt worden, bevor er flächendeckend aktualisiert wurde – ein Detail, das darauf hindeutet, dass die zugrunde liegende Schwachstelle nicht einzigartig für Avicis Einsatz war, da die fehlerhafte Kontraktversion vor dem Patch von mehreren Programmen gemeinsam genutzt wurde.

Das Unternehmen bestätigte, dass 1.685 vom Exploit betroffene Nutzer, deren Kartenguthaben insgesamt 500.859,22 Dollar ausmachen, ihre Guthaben vollständig zurückerhalten werden.

Wie der Angreifer das Kartenprogramm leerte

DefiLlamas Hack-Datenbank verzeichnet den Avici-Vorfall mit 500.859 Dollar, übereinstimmend mit der Angabe in der Mitteilung des Unternehmens, und stuft ihn als Fehler in der Auszahlungslogik eines Rust-basierten Protokolls ein. Erste Berichte hatten die Verluste auf zwischen 600.000 und über 1 Million Dollar geschätzt.

Berichten zufolge rief der Angreifer zunächst eine Funktion namens SubmitSignatures auf Avicis Autorisierungsprogramm auf, danach AddCollateralAdmin auf dessen Kollateralprogramm und schließlich WithdrawCollateralAsset, um Gelder abzuziehen. Diese Aufrufkette zeigt, dass der Angreifer Berechtigungen innerhalb der Programme eskalierte, anstatt kryptografische Schutzmechanismen zu brechen – ein Muster, das mit der Einstufung als Logikfehler übereinstimmt.

Die Wallet des Angreifers hielt zuletzt rund 10.005 SOL im Wert von etwa 1,07 Millionen Dollar zum damaligen Zeitpunkt sowie etwa 11.600 Dollar an Stablecoins.

Nach dem Exploit fiel der AVICI-Token binnen 24 Stunden um rund 39 % auf nahe 0,26 Dollar und markierte ein neues Allzeittief von etwa 0,2189 Dollar. Damit liegt der Token mehr als 96 % unter seinem Höchststand von 7,61 Dollar aus dem November 2025. Zum Zeitpunkt der Verfassung dieses Artikels hat sich der Token leicht erholt und notiert bei rund 0,3093 Dollar, bleibt aber laut CoinMarketCap-Daten in den vergangenen 24 Stunden noch um mehr als 27,8 % im Minus.

Ajna wird das nächste Opfer

Am 29. August meldete Defimon Alerts auf X, ein Unternehmen für On-Chain-Überwachung, dass Ajna rund 775.000 Dollar durch eine von ihm als Manipulation der Liquidationsbuchführung bezeichnete Attacke auf Ethereum verloren habe, wobei allein der syrupUSDC-Pool 173.700 Dollar ausmachte.

Defimon erklärte, es habe den vorbereiteten Angriff mehr als eine Stunde vor der ersten Exploit-Transaktion erkannt und das Team über dessen Discord gewarnt, doch Ajna habe „nicht reagiert“. Der Vorfall ist ein weiteres Beispiel dafür, dass On-Chain-Überwachungstools Angriffsvorbereitungen in Echtzeit erkennen, während Protokollteams Schwierigkeiten haben, im verfügbaren Zeitfenster zu reagieren.

Ajna bestätigte, „ungewöhnliche Bewegungen“ zu untersuchen, und rief Nutzer auf, alle Gelder abzuziehen, Kredite zurückzuzahlen und keine Interaktionen mit dem Protokoll mehr vorzunehmen.

DefiLlama-Daten zeigen, dass die gebundene Gesamtwertigkeit (TVL) von Ajna bei etwa 246.880 Dollar liegt, ein Rückgang von 71,3 % in den vergangenen 30 Tagen.

Eine kostspielige Phase für auditierte Protokolle

Ein CoinGecko-Bericht mit dem Titel „2026's State of Crypto Security“ dokumentierte zwischen Januar 2025 und Juli 2026 mehr als 245 Vorfälle mit Gesamtschäden von 3,63 Milliarden Dollar. Davon trafen 147 auditierte Protokolle, was 88,44 % des gesamten gestohlenen Kapitals entspricht. Die meisten Angriffe nutzten Infrastruktur, Drittanbieterdienste, Governance oder menschliche Fehler aus, statt Fehler innerhalb des Audit-Bereichs – ein Muster, in das sowohl der Avici-Vorfall, der auf einen von einem Partner herausgegebenen Karten-Kontrakt zurückging, als auch der Ajna-Vorfall, dem Berichten zufolge eine ignorierte Warnung vorausging, passen.

Auch die Versicherungdecke, die solche Verluste abfedern könnte, schrumpft. Aktive On-Chain-Versicherungen sanken Berichten zufolge auf 20,2 % des Marktes, von 163,2 Millionen auf 130,2 Millionen Dollar. Zudem wurden fünf von neun On-Chain-Versicherungsprotokollen bis August 2026 Berichten zufolge inaktiv oder änderten ihre Ausrichtung. Damit bleiben Rückerstattungen wie die von Avici – finanziert vom Protokoll selbst statt durch Versicherung – voraussichtlich der wichtigste Rückgriff für betroffene Nutzer, und ob die zugesagten Rückzahlungen vollständig erfolgen, ist die entscheidende offene Frage für die 1.685 betroffenen Karteninhaber.