Un exploit di sicurezza nell'infrastruttura delle crypto card ha sottratto circa 1,1 milioni di dollari a diversi programmi basati su Solana, innescando una forte vendita del token AVICI di Avici. Il token è sceso fino al 49%, passando da un massimo di 24 ore di circa 0,43 dollari a un minimo storico vicino a 0,217 dollari, prima di recuperare parzialmente.

L'incidente ha rinnovato le preoccupazioni sui rischi di sicurezza dell'infrastruttura di pagamento in criptovalute, in particolare nei sistemi di autocustodia che si affidano a contratti di terze parti per gestire la spesa con carta. L'episodio evidenzia anche una questione strutturale più ampia nel settore: quando molte piattaforme dipendono dallo stesso fornitore o dallo stesso modello di contratto, una singola vulnerabilità può propagare perdite su più aziende contemporaneamente, in modo simile a come librerie di smart contract condivise hanno amplificato exploit passati tra protocolli altrimenti scollegati.

L'exploit del contratto delle carte provoca le perdite

L'attacco ha preso di mira una versione obsoleta del contratto di carta di Rain utilizzato da Avici e da altri programmi. La vulnerabilità ha permesso all'attaccante di ottenere il controllo amministrativo dei singoli conti di garanzia delle carte e di prelevarne i saldi.

Avici ha dichiarato che circa 500.800 dollari sono stati sottratti a 1.685 utenti. Secondo l'azienda, la violazione ha colpito i fondi destinati alla spesa con carta, mentre i wallet in autocustodia degli utenti sono rimasti intatti. Questa distinzione è rilevante perché definisce il limite pratico dell'esposizione degli utenti: gli asset rimasti nel wallet principale non sono stati toccati, mentre i fondi trasferiti nel sistema di spesa con carta non godono della stessa protezione.

Un'altra neobank crypto, Tria, ha riportato perdite superiori a 430.000 dollari coinvolgendo 636 utenti. Anche il suo token è sceso di oltre il 10% dopo l'incidente.

Sia Avici che Tria si sono impegnate a rimborsare integralmente gli utenti colpiti, anche se nessuna delle due aziende ha comunicato una scadenza definitiva per i rimborsi. Il completamento di tali rimborsi, e la rapidità con cui avverranno, potranno influenzare la fiducia degli utenti in entrambe le piattaforme.

Rain corregge i contratti vulnerabili

Rain ha dichiarato di aver individuato il problema in una versione obsoleta del proprio contratto di carta e di aver aggiornato i programmi che utilizzavano ancora la versione interessata. L'azienda ha segnalato alcuna ulteriore attività non autorizzata dopo gli aggiornamenti.

I dati delle transazioni on-chain mostrano che le stablecoin rubate sono state convertite in SOL di Solana, spostate tra reti diverse e infine inviate tramite Tornado Cash, un servizio di mixing di criptovalute sanzionato nel 2022 dall'Office of Foreign Assets Control del Tesoro statunitense. Instradare i fondi attraverso i mixer è un passaggio comune nel riciclaggio dei furti in criptovalute, perché oscura la traccia on-chain.

Il totale di circa 1,1 milioni di dollari tracciato on-chain supera le perdite dichiarate da Avici e Tria, il che suggerisce che altri programmi basati sulla stessa infrastruttura potrebbero essere stati colpiti, anche se le loro identità e perdite restano sconosciute. Questo divario lascia aperta la possibilità di nuove rivelazioni man mano che gli analisti on-chain continueranno a tracciare i fondi.

L'incidente sottolinea un rischio chiave per gli utenti di crypto card: anche quando i clienti controllano i propri wallet principali, i fondi trasferiti nei sistemi di pagamento possono ricadere sotto smart contract di terze parti separati. L'episodio illustra inoltre le dipendenze che emergono quando le neobank crypto costruiscono prodotti di spesa su infrastrutture contrattuali condivise, dove l'aggiornamento delle versioni obsolete per tutti gli utenti a valle diventa una responsabilità del fornitore.

Avici ha dichiarato di aver segnalato l'incidente all'Internet Crime Complaint Center dell'FBI. La violazione arriva mentre l'uso delle crypto card si espande, accrescendo l'importanza dei controlli di sicurezza nell'infrastruttura di pagamento che supporta gli asset digitali.