La neobank su Solana Avici rimborserà integralmente 1,685 utenti dopo che un attaccante ha sfruttato un contratto della carta obsoleto fornito dal partner emittente Rain, drenando $500,859.22 dai saldi delle carte dei clienti.

La riconciliazione finale è arrivata dopo che le prime stime onchain avevano collocato l’attacco oltre $1 million, mentre i fondi si accumulavano rapidamente in indirizzi controllati dall’attaccante. I wallet self-custodial di Avici su Solana ed EVM non sono stati प्रभावित. L’infrastruttura vulnerabile era il contratto separato su Solana che custodiva i saldi che gli utenti avevano spostato nel sistema della carta, evidenziando la differenza tra la custodia del wallet e i circuiti della carta utilizzati per la spesa.

Il contratto Rain obsoleto ha consentito prelievi non autorizzati

Rain ha individuato la vulnerabilità in una versione obsoleta dei propri contratti Solana usati da Avici e da un piccolo numero di altri programmi. Tutte le implementazioni ancora in esecuzione con la versione interessata sono state aggiornate, e dopo la correzione non è stata rilevata ulteriore attività non autorizzata.

La prima interazione malevola identificata ha raggiunto i contratti collegati ad Avici alle 16:49:48 UTC. L’attaccante ha chiamato ripetutamente SubmitSignatures, seguito da AddCollateralAdmin e WithdrawCollateralAsset, creando un percorso per aggiungere autorità amministrativa prima di rimuovere asset da singoli conti collaterali. L’indirizzo dell’attaccante ha infine firmato 14,672 transazioni, incluse 2,344 operazioni fallite.

Una transazione esaminata ha rimosso 2,346.77 USDT da un singolo conto collaterale. Il wallet aveva inizialmente ricevuto solo 1.79 SOL tramite deBridge prima dell’inizio dell’attacco, poi ha convertito porzioni delle stablecoin sottratte in SOL mentre il drenaggio proseguiva.

Il problema riguarda l’infrastruttura della carta, non Solana in sé né il sistema di wallet self-custodial di Avici. Gli utenti sono diventati esposti solo dopo aver spostato asset dai loro wallet nel contratto separato usato per mantenere i saldi spendibili della carta.

Avici promette rimborsi integrali e contatta l’FBI

Ogni saldo della carta interessato sarà ripristinato nell’ambito dell’impegno di rimborso di Avici. La società ha anche presentato una segnalazione all’Internet Crime Complaint Center dell’FBI e rimane in contatto con Rain e con i partner di sicurezza mentre le transazioni vengono riconciliate.

Rain ha coinvolto investigatori forensi terzi e prevede di collaborare con le forze dell’ordine e con i regolatori competenti. Le misure di rimedio coprono tutti i programmi che stavano ancora usando la versione vulnerabile del contratto Solana, non solo l’implementazione di Avici.

La separazione tra contratti correnti e legacy ricorda il drenaggio di Raydium di giugno, in cui un difetto logico rimaneva sfruttabile in pool di liquidità Solana deprecati, anche se quei pool erano già scomparsi dall’interfaccia attuale di Raydium.

Un altro protocollo Solana, Allbridge Core, ha sospeso le operazioni a luglio dopo un attacco flash-loan separato che ha manipolato la contabilità dei pool di stablecoin ed estratto oltre $1 million.

AVICI tocca un minimo record durante il drenaggio

AVICI ha subito forti vendite mentre gli utenti iniziavano a condividere i saldi mancanti delle carte e l’attacco rimaneva attivo. Il token è sceso a un minimo storico vicino a $0.219, circa la metà del massimo intraday di $0.446, prima di recuperare parte del calo.

Dopo l’annuncio del rimborso, AVICI scambiava vicino a $0.27, ancora in calo di circa il 38% nelle ultime 24 ore, con una capitalizzazione di mercato intorno a $3.4 million e un volume di scambi a 24 ore vicino a $1.2 million.