Una vulnerabilità in un contratto datato della carta Rain ha sottratto circa 1,1 milioni di dollari da diversi programmi basati su Solana, tra cui 500.800 dollari da 1.685 utenti di Avici, facendo scendere fino al 49% il token AVICI della neobank.

AVICI, una neobank self-custodial che consente di spendere criptovalute tramite una carta di credito integrata con Visa, è passata da un massimo di 24 ore di 0,43 dollari a un minimo storico di 0,217 dollari, prima di riprendersi fino a circa 0,378 dollari al momento della scrittura.

Tria, un'altra neobank crypto, ha riferito che 636 dei suoi utenti sono stati colpiti, con perdite totali superiori a 430.000 dollari. L'azienda si è impegnata a rimborsare integralmente gli utenti, anche se il suo token in un momento è sceso di oltre il 10%.

Avici ha dichiarato che l'attacco era confinato a un contratto su Solana che custodiva i fondi dopo che i clienti avevano ricaricato le loro carte. I suoi wallet self-custodial su Solana e reti compatibili con Ethereum non sono stati colpiti, e l'azienda ha affermato che ogni saldo carta interessato sarà rimborsato.

Rain ha dichiarato che il suo monitoraggio ha individuato la vulnerabilità in una versione datata del contratto utilizzata da Avici e da un piccolo numero di altri programmi. Ha aggiornato ogni programma che eseguiva quella versione e non ha rilevato ulteriori attività non autorizzate.

Secondo i termini di Avici, Third National è l'emittente della carta, mentre Rain, membro principale di Visa, fornisce l'infrastruttura sottostante per la carta in stablecoin.

I dati delle transazioni mostrano che l'attaccante ha ripetutamente inviato un'autorizzazione firmata, si è aggiunto come amministratore ai singoli conti di garanzia delle carte e ne ha prelevato i saldi. Le stablecoin rubate sono state convertite in solana (SOL), trasferite tramite bridge su Ethereum e infine inviate attraverso il crypto mixer Tornado Cash, un protocollo sanzionato dal Dipartimento del Tesoro statunitense nel 2022 per il suo uso nel riciclaggio di fondi rubati, il che in genere complica sia la tracciabilità sia il recupero.

Il divario tra i circa 1,1 milioni di dollari tracciati on-chain e la perdita dichiarata da Avici indica che sono stati colpiti anche altri programmi basati su Rain. Nessuna delle due aziende ha identificato tali programmi né diffuso l'importo totale perso da ciascuno.

L'incidente evidenzia il passaggio di custodia alla base di alcune carte crypto self-custodial: mentre gli utenti controllavano il denaro custodito nei wallet Avici, i fondi caricati per la spesa venivano trasferiti in un contratto di terze parti. Gli exploit di smart contract di questo tipo — in cui una falla in un'infrastruttura condivisa colpisce contemporaneamente più programmi dipendenti — sono uno schema ricorrente nel settore crypto, e le dipendenze da infrastrutture di terze parti significano che una singola versione di contratto obsoleta può esporre contemporaneamente i clienti di diversi servizi.

Questa distinzione sta diventando più significativa man mano che la spesa tracciata con carte crypto è più che triplicata, raggiungendo 1,04 miliardi di dollari a luglio, con le stablecoin che hanno finanziato il 70% di oltre 10 milioni di transazioni. Mentre più fondi dei consumatori passano attraverso contratti intermedi anziché wallet controllati dagli utenti, l'incidente solleva domande a cui gli acquirenti possono fare attenzione: se i programmi di carte dichiarano la propria architettura di custodia, le pratiche di audit dei contratti e i tempi di rimborso per i saldi compromessi.

Avici ha dichiarato di aver presentato una segnalazione all'Internet Crime Complaint Center dell'Federal Bureau of Investigation. Non è stato detto quando arriveranno i rimborsi né come saranno finanziati.

Fonte: CoinDesk