Krypto-Karten-Exploit über 1,1 Million US-Dollar lässt Avici-Token um 49 % einbrechen
Wichtige Erkenntnisse
- •Ein veralteter Rain-Kartenvertrag wurde ausgenutzt, um die administrative Kontrolle über Karten-Sicherheitskonten zu übernehmen und rund 1,1 Millionen US-Dollar aus mehreren Solana-basierten Programmen abzuziehen.
- •Avici meldete rund 500.800 US-Dollar Diebstahl bei 1.685 Nutzern, Tria Verluste von über 430.000 US-Dollar bei 636 Nutzern; beide Unternehmen kündigten vollständige Erstattungen ohne Zeitplan an.
- •Der Angriff betraf ausschließlich Guthaben für Kartenausgaben; die Self-Custody-Haupt-Wallets der Nutzer blieben unberührt.
- •Rain aktualisierte die verwundbare Vertragsversion und meldete nach den Patches keine weiteren unbefugten Aktivitäten.
- •Die gestohlenen Gelder wurden in SOL umgewandelt und über den sanktionierten Mixer Tornado Cash geleitet; die on-chain zurückverfolgte Summe übersteigt die offengelegten Verluste, was auf weitere betroffene Programme hindeutet.
Ein Sicherheits-Exploit in der Infrastruktur für Krypto-Karten entzog mehreren Solana-basierten Programmen rund 1,1 Millionen US-Dollar und löste eine massive Verkaufswelle beim AVICI-Token von Avici aus. Der Token fiel um bis zu 49 % – von einem 24-Stunden-Hoch von etwa 0,43 US-Dollar auf ein Rekordtief von nahe 0,217 US-Dollar –, bevor er einen Teil der Verluste zurückgewann.
Der Vorfall hat die Sorge vor Sicherheitsrisiken in der Krypto-Zahlungsinfrastruktur neu belebt, insbesondere in Self-Custody-Systemen, die für die Abwicklung von Kartenausgaben auf Verträge Dritter angewiesen sind. Er verdeutlicht zudem ein strukturelles Problem der Branche: Wenn viele Plattformen auf denselben Anbieter oder dieselbe Vertragsvorlage setzen, kann eine einzelne Schwachstelle Verluste bei mehreren Unternehmen gleichzeitig verursachen – ähnlich wie gemeinsame Smart-Contract-Bibliotheken in der Vergangenheit Exploits über ansonsten unabhängige Protokolle hinweg verstärkt haben.
Kartenvertrags-Exploit verursacht Verluste
Der Angriff zielte auf einen veralteten Rain-Kartenvertrag ab, der von Avici und anderen Programmen genutzt wurde. Die Schwachstelle ermöglichte es dem Angreifer, die administrative Kontrolle über einzelne Karten-Sicherheitskonten zu übernehmen und deren Guthaben abzuziehen.
Avici erklärte, dass rund 500.800 US-Dollar von 1.685 Nutzern entwendet wurden. Laut dem Unternehmen betraf der Angriff ausschließlich Guthaben, die für Kartenausgaben gehalten wurden; die Self-Custody-Wallets der Nutzer blieben unberührt. Diese Unterscheidung ist wichtig, weil sie die praktische Grenze der Nutzerbelastung festlegt: Vermögenswerte im Haupt-Wallet wurden nicht angetastet, während in das Kartenausgabensystem verschobene Mittel eben doch.
Ein weiteres Krypto-Neobank, Tria, meldete Verluste von über 430.000 US-Dollar bei 636 Nutzern. Dessen Token fiel nach dem Vorfall ebenfalls um mehr als 10 %.
Sowohl Avici als auch Tria kündigten an, betroffene Nutzer vollständig zu entschädigen, allerdings hat keines der beiden Unternehmen einen endgültigen Zeitplan für die Rückzahlungen genannt. Ob diese Erstattungen vollständig und wie schnell erfolgen, wird das Nutzervertrauen in beide Plattformen künftig prägen.
Rain patcht verwundbare Verträge
Rain erklärte, das Problem in einer veralteten Version seines Kartenvertrags identifiziert und Programme, die noch die betroffene Version nutzten, aktualisiert zu haben. Nach den Upgrades habe es keine weiteren unbefugten Aktivitäten gegeben.
Daten der Blockchain-Transaktionen zeigten, dass die gestohlenen Stablecoins in Solanas SOL umgewandelt, über Netzwerke verschoben und schließlich über Tornado Cash transferiert wurden – einen Krypto-Mixing-Dienst, der 2022 vom Office of Foreign Assets Control des US-Finanzministeriums sanktioniert wurde. Das Weiterleiten von Geldern über Mixer ist bei Krypto-Diebstählen ein üblicher Schritt zur Geldwäsche, da er die On-Chain-Spur verschleiert.
Die rund 1,1 Millionen US-Dollar, die on-chain zurückverfolgt wurden, übersteigen die von Avici und Tria offengelegten Verluste. Das deutet darauf hin, dass möglicherweise weitere Programme mit derselben Infrastruktur betroffen sind, obwohl deren Identität und Verluste nicht offengelegt wurden. Diese Lücke lässt weitere Enthüllungen möglich erscheinen, während On-Chain-Analysten die Gelder weiter zurückverfolgen.
Der Vorfall unterstreicht ein zentrales Risiko für Nutzer von Krypto-Karten: Selbst wenn Kunden ihre Haupt-Wallets selbst kontrollieren, können in Zahlungssysteme transferierte Mittel separaten Smart Contracts Dritter unterliegen. Er zeigt auch die Abhängigkeiten auf, die entstehen, wenn Krypto-Neobanks Ausgabenprodukte auf gemeinsamer Vertragsinfrastruktur aufbauen – wo das Patchen veralteter Versionen für alle nachgelagerten Nutzer zur Verantwortung des Anbieters wird.
Avici erklärte, den Vorfall beim Internet Crime Complaint Center des FBI gemeldet zu haben. Der Angriff erfolgt zu einem Zeitpunkt, in dem die Nutzung von Krypto-Karten zunimmt, was die Bedeutung von Sicherheitskontrollen in der Zahlungsinfrastruktur für digitale Vermögenswerte erhöht.
