Avici ha subito un exploit di criptovalute stimato a circa 1,02 milioni di dollari, secondo le segnalazioni on-chain. L'attaccante ha spostato i fondi rubati attraverso una sequenza di transazioni in più fasi, convertendo gli asset da Solana (SOL) in USDC e poi in Ethereum (ETH) prima di depositare il ricavato in Tornado Cash.

Come si sono mossi i fondi

Il percorso transazionale riportato è iniziato con il trasferimento di circa 10.000 SOL — valutati circa 1,02 milioni di dollari al momento dell'incidente — da holdings legate ad Avici a un portafoglio secondario controllato dall'attaccante. Invece di mantenere la criptovaluta rubata nella sua forma originale, l'attaccante ha convertito i SOL in circa 1,02 milioni di dollari in USDC.

L'attaccante ha poi effettuato un bridge del ricavato in USDC tra reti blockchain e lo ha scambiato con circa 418 ETH. Questa progressione da SOL a una stablecoin denominata in dollari, seguita da un trasferimento cross-chain e dalla conversione in Ethereum, ha creato diverse fasi distinte tra il furto iniziale e la destinazione finale dei fondi.

L'approccio in più fasi può complicare le indagini, poiché ogni conversione genera transazioni aggiuntive in ambienti blockchain potenzialmente diversi. Gli inquirenti si affidano in genere ai registri delle transazioni pubblicamente visibili per seguire questi movimenti e identificare i collegamenti tra i portafogli.

L'account di analisi on-chain Onchain Lens ha riportato l'incidente su X:

AVICI EXPLOITED FOR ~$1.02M @avici has been exploited, with losses totaling roughly $1.02M. The attacker moved 10K $SOL to another wallet and swapped it for ~$1.02M $USDC. The funds were then bridged and swapped into ~418 $ETH. Attacker:… pic.twitter.com/UfyxeynZEZ — Onchain Lens (@OnchainLens) August 29, 2026

Destinazione finale: Tornado Cash

Dopo aver ottenuto i circa 418 ETH, l'attaccante ha depositato i fondi in Tornado Cash. L'indirizzo di destinazione riportato inizia con 0x2cE21E4921d3Eb116526c3651Dac0257657338D5.

Tornado Cash è un protocollo di mixing di criptovalute progettato per oscurare i collegamenti tra gli asset digitali depositati e prelevati. Il suo utilizzo in questa transazione aggiunge un ulteriore livello di offuscamento al movimento dei fondi dopo l'exploit iniziale e potrebbe rendere più difficile il tracciamento successivo. Il protocollo è da tempo associato al riciclaggio dei proventi di furti di criptovalute: l'Office of Foreign Assets Control (OFAC) del Tesoro statunitense ha sanzionato Tornado Cash nell'agosto 2022, citandone l'uso nel riciclaggio di miliardi di dollari rubati da gruppi tra cui il Lazarus Group, prima che tali sanzioni fossero revocate nel marzo 2025 in seguito a una sentenza di una corte d'appello statunitense. La sua continua presenza nei percorsi dei fondi legati agli exploit rimane un punto focale per le società di analisi blockchain come Chainalysis e TRM Labs, che monitorano i depositi verso mixer segnalati come parte delle indagini post-attacco.

La risposta di Avici

Avici ha riconosciuto per la prima volta la situazione su X il 28 agosto 2026:

We're aware of an issue affecting card balance withdrawals and are closely monitoring the situation. We're working directly with all relevant partners to resolve it and will share updates as soon as we have more information. — Avici (@avici) August 28, 2026

L'azienda ha poi fornito un aggiornamento:

UPDATE: All affected card balances will be refunded in full. Earlier today, our card-issuing partner, Rain, identified a vulnerability in an version of a Solana card contract used by Avici and a small number of other programs. The contract has now been upgraded across all… — Avici (@avici) August 28, 2026

Secondo la dichiarazione, la vulnerabilità è stata identificata dal partner emittente di carte di Avici, Rain, in una versione di un contratto di carte Solana utilizzato da Avici e da un piccolo numero di altri programmi. Avici ha affermato che il contratto è stato aggiornato e che tutti i saldi delle carte interessati saranno rimborsati integralmente. Il riferimento a un contratto di carte basato su Solana riflette una tendenza più ampia dei prodotti di spesa legati alle criptovalute, che emettono saldi on-chain affidandosi a partner emittenti terzi per l'infrastruttura delle carte — un'architettura a più livelli in cui una falla a livello di contratto o di partner può interessare più programmi contemporaneamente, come evidenziato dal fatto che il contratto vulnerabile era utilizzato anche da un piccolo numero di altri programmi.

Contesto più ampio

L'incidente evidenzia i continui rischi di sicurezza affrontati dai progetti di criptovalute e dagli utenti che detengono asset su reti decentralizzate. Gli attaccanti possono spostare rapidamente i fondi rubati attraverso token ed ecosistemi blockchain diversi, creando difficoltà per i team di sicurezza e per gli inquirenti che tentano di rispondere a un exploit.

La perdita riportata di 1,02 milioni di dollari dimostra come un singolo compromesso possa generare una catena complessa di transazioni che comprende trasferimenti tra portafogli, scambi di token, movimenti cross-chain e ulteriori conversioni. La possibilità per gli inquirenti di continuare a seguire i proventi o di identificare ulteriori portafogli collegati all'incidente dipenderà dai movimenti futuri della criptovaluta.

L'exploit di Avici si aggiunge alle più ampie preoccupazioni di sicurezza che circondano le piattaforme di asset digitali, dove i trasferimenti rapidi e gli swap cross-chain possono complicare i tentativi di congelare, recuperare o tracciare i fondi dopo una violazione. L'incidente sottolinea inoltre l'importanza del monitoraggio delle transazioni e del rilevamento rapido quando grandi saldi di criptovalute si muovono inaspettatamente. In questo caso, Avici si è impegnata a rimborsare integralmente i saldi interessati, un modello di risposta già visto in precedenti incidenti crittografici legati alle carte, in cui gli emittenti o i partner assorbono le perdite per preservare la fiducia degli utenti — anche se l'esito di qualsiasi sforzo di tracciamento o recupero contro fondi già instradati tramite Tornado Cash rimane una questione aperta.