Aviciはオンチェーン報告によれば約102万ドルと推定される暗号資産エクスプロイトの被害を受けた。攻撃者は盗難資金を複数段階のトランザクションで移動させ、Solana（SOL）からUSDC、さらにEthereum（ETH）へと資産を変換した後、その収益をTornado Cashに入金した。

資金の移動経路

報告されたトランザクションの流れは、Avici関連の保有資産から攻撃者が管理する別のウォレットへ約10,000 SOL（事件発生時の価値でおよそ102万ドル）が移動したことから始まった。攻撃者は盗難暗号資産を元の形のまま保持するのではなく、SOLを約102万ドルのUSDCに交換した。

その後、攻撃者はUSDCの収益をブロックチェーン間でブリッジし、約418 ETHに交換した。SOLからドル建てステーブルコインへの移行、その後のクロスチェーン転送とEthereumへの変換というこの流れは、最初の窃取と資金の最終的な行き先との間にいくつもの明確な段階を生み出した。

この多段階の手法は調査を複雑化させうる。各変換は異なる可能性のあるブロックチェーン環境において追加のトランザクションを生成するためである。調査担当者は通常、公開されているトランザクション記録を頼りにこれらの資金移動を追跡し、ウォレット間のつながりを特定する。

オンチェーン分析アカウントのOnchain LensがX上でこの事件を報告した：

AVICI EXPLOITED FOR ~$1.02M @avici has been exploited, with losses totaling roughly $1.02M. The attacker moved 10K $SOL to another wallet and swapped it for ~$1.02M $USDC. The funds were then bridged and swapped into ~418 $ETH. Attacker:… pic.twitter.com/UfyxeynZEZ — Onchain Lens (@OnchainLens) August 29, 2026

最終目的地：Tornado Cash

約418 ETHを入手した後、攻撃者はこの資金をTornado Cashに入金した。報告された宛先アドレスは0x2cE21E4921d3Eb116526c3651Dac0257657338D5で始まる。

Tornado Cashは、入金されたデジタル資産と引き出されるデジタル資産との間のつながりを曖昧にするために設計された暗号資産ミキシングプロトコルである。今回のトランザクションでのその使用は、最初のエクスプロイト後の資金移動にさらなる匿名化の層を加えるものであり、その後の追跡をより困難にする可能性がある。同プロトコルは暗号資産窃盗の収益の資金洗浄と長らく結びつけられてきた。米財務省外国資産管理局（OFAC）は2022年8月、Lazarus Groupを含むグループによって盗まれた数十億ドルの資金洗浄への利用を理由にTornado Cashに制裁を科したが、2025年3月に米控訴裁判所の判決を受けて制裁は解除された。エクスプロイト後の資金追跡調査の一環として、ChainalysisやTRM Labsなどのブロックチェーン分析企業はフラグ付きミキサーへの入金の監視を続けており、同プロトコルがエクスプロイト資金の流れに引き続き登場することは依然として注目点となっている。

Aviciの対応

Aviciは2026年8月28日、X上で最初に事態を認めた：

We're aware of an issue affecting card balance withdrawals and are closely monitoring the situation. We're working directly with all relevant partners to resolve it and will share updates as soon as we have more information. — Avici (@avici) August 28, 2026

同社はその後アップデートを発表した：

UPDATE: All affected card balances will be refunded in full. Earlier today, our card-issuing partner, Rain, identified a vulnerability in an version of a Solana card contract used by Avici and a small number of other programs. The contract has now been upgraded across all… — Avici (@avici) August 28, 2026

この声明によれば、脆弱性はAviciのカード発行パートナーであるRainが、Aviciおよび少数の他プログラムで使用されていたSolanaカードコントラクトのあるバージョンにおいて発見したものである。Aviciはコントラクトがすでにアップグレードされたこと、影響を受けたカード残高は全額返金されることを述べた。Solanaベースのカードコントラクトへの言及は、カード決済ネットワークをサードパーティの発行パートナーに依存しながら残高をオンチェーンで発行する暗号資産連携決済製品のより広いトレンドを反映している。こうした多層的な構造では、コントラクトまたはパートナーレベルの欠陥が複数のプログラムに同時に影響を及ぼしうる。Aviciも、脆弱なコントラクトが少数の他プログラムでも使用されていたと述べている。

より広い文脈

この事件は、暗号資産プロジェクトおよび分散型ネットワーク上で資産を保有するユーザーが直面し続けるセキュリティリスクを浮き彫りにしている。攻撃者は盗難資産を異なるトークンやブロックチェーン生態系間で比較的迅速に移動させることができ、エクスプロイトへの対応を試みるセキュリティチームや調査担当者に課題をもたらしている。

報告された102万ドルの損失は、単一の侵害がウォレット間転送、トークンスワップ、クロスチェーン移動、さらなる変換にまたがる複雑なトランザクション連鎖を生み出しうることを示している。調査担当者が収益の追跡を続けられるか、または事件に関連する追加のウォレットを特定できるかどうかは、暗号資産のその後の動向にかかっている。

Aviciのエクスプロイトは、デジタル資産プラットフォームを巡るより広範なセキュリティ懸念に加わるものである。迅速な転送やクロスチェーンスワップは、侵害後の資金の凍結、回収、追跡の取り組みを複雑化させうる。また、大口の暗号資産残高が予期せず移動した際のトランザクション監視と迅速な検知の重要性も強調している。今回、Aviciは影響を受けた残高の全額返金を約束した。これは、発行者やパートナーがユーザーの信頼を守るために損失を吸収した過去のカード関連の暗号資産事件で見られた対応パターンである。ただし、すでにTornado Cash経由に移送された資金に対する追跡または回収の試みの結果は、依然として未解決のままである。