Eine Schwachstelle in einem veralteten Rain-Kartenvertrag führte zum Abfluss von rund 1,1 Millionen Dollar über mehrere Solana-basierte Programme hinweg, darunter 500.800 Dollar von 1.685 Avici-Nutzern. Der AVICI-Token der Neobank fiel dadurch um bis zu 49 %.

AVICI, eine Self-Custody-Neobank, die Nutzern das Ausgeben von Kryptowährungen über eine Visa-integrierte Kreditkarte ermöglicht, fiel von einem 24-Stunden-Hoch von 0,43 Dollar auf ein Rekordtief von 0,217 Dollar, bevor er zum Zeitpunkt der Berichterstattung auf etwa 0,378 Dollar zurückkehrte.

Tria, eine weitere Krypto-Neobank, meldete, dass 636 Nutzer betroffen seien, mit Verlusten von insgesamt mehr als 430.000 Dollar. Das Unternehmen versprach eine vollständige Rückerstattung, während sein Token zeitweise um mehr als 10 % einbrach.

Avici erklärte, der Angriff habe sich auf einen Solana-Vertrag beschränkt, der Guthaben nach dem Aufladen der Karten durch Kunden hielt. Die Self-Custody-Wallets auf Solana und Ethereum-kompatiblen Netzwerken blieben unberührt, und das Unternehmen kündigte an, jedes betroffene Kartenguthaben zu erstatten.

Rain teilte mit, dass sein Monitoring die Schwachstelle in einer veralteten Vertragsversion identifiziert habe, die von Avici und einer kleinen Anzahl anderer Programme verwendet wurde. Das Unternehmen aktualisierte alle Programme mit dieser Version und meldete keine weiteren unbefugten Aktivitäten.

Laut den Bedingungen von Avici ist Third National der Kartenaussteller, während Rain, ein Visa-Hauptmitglied, die zugrunde liegende Stablecoin-Karteninfrastruktur bereitstellt.

Transaktionsdaten zeigen, dass der Angreifer wiederholt eine signierte Autorisierung einreichte, sich selbst als Administrator zu einzelnen Karten-Sicherheitskonten hinzufügte und deren Guthaben abhob. Die gestohlenen Stablecoins wurden in Solana (SOL) getauscht, auf Ethereum überbrückt und schließlich über den Krypto-Mixer Tornado Cash weitergeleitet – ein Protokoll, das das US-Finanzministerium 2022 wegen seiner Nutzung beim Waschen gestohlener Gelder sanktionierte, was die Rückverfolgung und Wiederbeschaffung in der Regel erschwert.

Die Differenz zwischen den rund 1,1 Millionen Dollar, die On-Chain nachverfolgt wurden, und dem von Avici gemeldeten Verlust deutet darauf hin, dass auch andere Rain-basierte Programme getroffen wurden. Keines der beiden Unternehmen hat diese Programme identifiziert oder die Gesamthöhe der jeweiligen Verluste offengelegt.

Der Vorfall verdeutlicht die Custody-Übergabe, die einigen Self-Custody-Kryptokarten zugrunde liegt: Während Nutzer das in Avici-Wallets gehaltene Geld kontrollierten, flossen die zum Ausgeben aufgeladenen Gelder in einen Drittanbieter-Vertrag. Smart-Contract-Exploits dieser Art – bei denen eine Schwachstelle in gemeinsam genutzter Infrastruktur mehrere abhängige Programme gleichzeitig betrifft – sind ein wiederkehrendes Muster im Kryptobereich, und Abhängigkeiten von Drittanbieter-Infrastruktur bedeuten, dass eine einzige veraltete Vertragsversion Kunden mehrerer Dienste gleichzeitig gefährden kann.

Diese Unterscheidung gewinnt an Bedeutung, da das verfolgte Ausgabevolumen mit Kryptokarten im Juli auf mehr als das Dreifache auf 1,04 Milliarden Dollar stieg, wobei Stablecoins 70 % von mehr als 10 Millionen Transaktionen finanzierten. Da mehr Kundengelder über Zwischenverträge statt über von Nutzern kontrollierte Wallets fließen, wirft der Vorfall Fragen auf, denen Käufer Aufmerksamkeit schenken können: ob Kartenprogramme ihre Custody-Architektur offenlegen, welche Praktiken bei Vertragsaudits gelten und welche Rückerstattungsfristen für kompromittierte Guthaben bestehen.

Avici gab an, eine Meldung beim Internet Crime Complaint Center des Federal Bureau of Investigation eingereicht zu haben. Das Unternehmen hat nicht mitgeteilt, wann die Rückerstattungen eintreffen oder wie sie finanziert werden sollen.

Quelle: CoinDesk