Avici a subi une exploitation de cryptomonnaies estimée à environ 1,02 million de dollars, selon des rapports on-chain. L'attaquant a déplacé les fonds volés grâce à une séquence de transactions en plusieurs étapes, convertissant les actifs de Solana (SOL) en USDC puis en Ethereum (ETH), avant de déposer le produit dans Tornado Cash.

Le trajet des fonds

Le parcours transactionnel rapporté a commencé par le transfert d'environ 10 000 SOL — d'une valeur d'environ 1,02 million de dollars au moment de l'incident — depuis des avoirs liés à Avici vers un portefeuille secondaire contrôlé par l'attaquant. Plutôt que de conserver la cryptomonnaie volée sous sa forme d'origine, l'attaquant a échangé les SOL contre environ 1,02 million de dollars en USDC.

L'attaquant a ensuite fait passer les USDC entre réseaux blockchain et les a échangés contre environ 418 ETH. Cette progression du SOL vers un stablecoin adossé au dollar, suivie d'un transfert inter-chaînes et d'une conversion en Ethereum, a créé plusieurs étapes distinctes entre le vol initial et la destination finale des fonds.

Cette approche multi-étapes peut compliquer les enquêtes, car chaque conversion génère des transactions supplémentaires dans des environnements blockchain potentiellement différents. Les enquêteurs s'appuient généralement sur les enregistrements de transactions publiquement visibles pour suivre ces mouvements et identifier les liens entre portefeuilles.

Le compte d'analyse on-chain Onchain Lens a rapporté l'incident sur X :

AVICI EXPLOITED FOR ~$1.02M @avici has been exploited, with losses totaling roughly $1.02M. The attacker moved 10K $SOL to another wallet and swapped it for ~$1.02M $USDC. The funds were then bridged and swapped into ~418 $ETH. Attacker:… pic.twitter.com/UfyxeynZEZ — Onchain Lens (@OnchainLens) August 29, 2026

Destination finale : Tornado Cash

Après avoir obtenu les quelque 418 ETH, l'attaquant a déposé les fonds dans Tornado Cash. L'adresse de destination rapportée commence par 0x2cE21E4921d3Eb116526c3651Dac0257657338D5.

Tornado Cash est un protocole de mixage de cryptomonnaies conçu pour obscurcir les liens entre les actifs déposés et retirés. Son utilisation dans cette transaction ajoute une couche supplémentaire d'obscurcissement au mouvement des fonds après l'exploitation initiale et pourrait rendre le traçage ultérieur plus difficile. Le protocole est depuis longtemps associé au blanchiment du produit de vols de cryptomonnaies : l'Office of Foreign Assets Control (OFAC) du Trésor américain a sanctionné Tornado Cash en août 2022, invoquant son utilisation pour blanchir des milliards de dollars volés par des groupes dont le Lazarus Group, avant que ces sanctions ne soient levées en mars 2025 à la suite d'une décision d'une cour d'appel américaine. Sa présence continue dans les traces de fonds d'exploitations reste un point focal pour les sociétés d'analyse blockchain comme Chainalysis et TRM Labs, qui suivent les dépôts vers des mixeurs signalés dans le cadre d'enquêtes post-piratage.

La réponse d'Avici

Avici a d'abord reconnu la situation sur X le 28 août 2026 :

We're aware of an issue affecting card balance withdrawals and are closely monitoring the situation. We're working directly with all relevant partners to resolve it and will share updates as soon as we have more information. — Avici (@avici) August 28, 2026

L'entreprise a ensuite fourni une mise à jour :

UPDATE: All affected card balances will be refunded in full. Earlier today, our card-issuing partner, Rain, identified a vulnerability in an version of a Solana card contract used by Avici and a small number of other programs. The contract has now been upgraded across all… — Avici (@avici) August 28, 2026

Selon ce communiqué, la vulnérabilité a été identifiée par Rain, le partenaire émetteur de cartes d'Avici, dans une version d'un contrat de carte Solana utilisé par Avici et un petit nombre d'autres programmes. Avici a indiqué que le contrat a depuis été mis à niveau et que tous les soldes de cartes affectés seront intégralement remboursés. La mention d'un contrat de carte basé sur Solana reflète une tendance plus large des produits de dépense liés aux cryptomonnaies à émettre des soldes on-chain tout en s'appuyant sur des partenaires d'émission tiers pour les rails de paiement par carte — une architecture en couches dans laquelle une faille au niveau du contrat ou du partenaire peut affecter plusieurs programmes à la fois, Avici ayant précisé que le contrat vulnérable était également utilisé par un petit nombre d'autres programmes.

Contexte plus large

L'incident met en lumière les risques de sécurité persistants auxquels sont confrontés les projets de cryptomonnaies et les utilisateurs détenant des actifs sur des réseaux décentralisés. Les attaquants peuvent déplacer rapidement des fonds volés à travers différents jetons et écosystèmes blockchain, créant des défis pour les équipes de sécurité et les enquêteurs tentant de répondre à une exploitation.

La perte rapportée de 1,02 million de dollars montre comment une seule compromission peut produire une chaîne complexe de transactions englobant transferts de portefeuilles, échanges de jetons, mouvements inter-chaînes et nouvelles conversions. La capacité des enquêteurs à continuer de suivre le produit ou à identifier d'autres portefeuilles liés à l'incident dépendra des mouvements ultérieurs de la cryptomonnaie.

L'exploitation d'Avici s'ajoute aux préoccupations de sécurité plus larges entourant les plateformes d'actifs numériques, où les transferts rapides et les échanges inter-chaînes peuvent compliquer les efforts de gel, de récupération ou de traçage des fonds après une violation. Elle souligne également l'importance de la surveillance des transactions et de la détection rapide lorsque des soldes importants de cryptomonnaies se déplacent de manière inattendue. En l'occurrence, Avici s'est engagée à rembourser intégralement les soldes affectés, un schéma de réponse observé lors de précédents incidents crypto liés aux cartes où les émetteurs ou les partenaires absorbent les pertes pour préserver la confiance des utilisateurs — même si l'issue de tout effort de traçage ou de récupération concernant des fonds déjà acheminés via Tornado Cash reste une question ouverte.