Avici、50万859ドルのSolanaカード侵害後の全額返金を約束 Ajnaが次の被害者に
重要ポイント
- •Aviciは8月28日の攻撃を受け、50万859.22ドルに相当する1,685人の被害カード残高の全額返金を約束した。
- •Aviciへの攻撃者は暗号技術を破るのではなく、SubmitSignatures、AddCollateralAdmin、WithdrawCollateralAssetを呼び出して権限を昇格させた。
- •イーサリアムの貸出プロトコルAjnaは8月29日に約77万5,000ドルの損失を出した。Defimonは攻撃の1時間以上前にチームへ警告したがAjnaは反応しなかったと述べている。
- •CoinGeckoの報告書は2025年1月から2026年7月に36.3億ドルの損失を出した245件超の事件を記録し、監査済みプロトコルが盗難資本の88.44%を占めた。
- •アクティブなオンチェーン保険は1億6,320万ドルから1億3,020万ドルに減少し、9つの保険プロトコルのうち5つが2026年8月までに活動停止または方向転換した。
Solana系ネオバンクのAviciは、8月28日の侵害でユーザー資金が流出した後、被害を受けたすべてのカード残高を全額返金すると約束した。翌日には、同じ一連の攻撃がイーサリアムの貸出プロトコルAjnaにも及んだ。相次ぐ事件は、監査済みプロトコルでさえ監査範囲外の欠陥によりユーザー資金を繰り返し失ってきた分散型金融の苦難の時期をさらに長引かせるものとなっている。
「被害を受けたすべてのカード残高は全額返金されます」
返金の約束は8月28日のXへの投稿で表明され、Aviciはカード発行パートナーのRainが今回の事件をSolanaカード契約の欠陥のあるバージョンに起因すると特定したと説明した。同社によれば、この契約はパッチ適用前、ネオバンク「および少数の他のプログラム」で使用されており、その後全面的にアップグレードされたという。この詳細は、欠陥のある契約バージョンが複数のプログラムで共有されていたことから、根本的な脆弱性がAviciの環境固有のものではなかったことを示唆している。
同社は、攻撃の影響を受けた1,685人のユーザーについて、50万859.22ドルに相当するカード残高を全額返金することを確認した。
攻撃者はどのようにカードプログラムを空にしたか
DefiLlamaのハックデータベースはAviciの事件を50万859ドルとして記録しており、同社の発表と一致する。また、Rustベースのプロトコルにおける出金ロジックの欠陥として分類している。初期の報道では損失は60万ドルから100万ドル超の範囲と推定されていた。
報道によると、攻撃者はAviciの承認プログラムでSubmitSignaturesという関数を呼び出し、続いて担保プログラムでAddCollateralAdmin、最後にWithdrawCollateralAssetを呼び出して資金を引き出した。この一連の呼び出しは、暗号技術的保護を破るのではなく、プログラム内で権限を昇格させたことを示しており、ロジック欠陥という分類と一致するパターンである。
攻撃者のウォレットは最終的に、当時約107万ドル相当の約10,005 SOLのほか、約1万1,600ドルのステーブルコインを保持していた。
攻撃後、AVICIトークンは24時間で約39%下落して0.26ドル付近となり、約0.2189ドルの史上最安値を更新した。これにより、2025年11月につけた高値7.61ドルから96%超の下落となった。執筆時点ではトークンはわずかに回復し0.3093ドル付近で取引されているが、CoinMarketCapのデータによれば直近24時間では依然として27.8%超の下落となっている。
Ajnaが次の被害者に
8月29日、オンチェーン監視企業のDefimon AlertsがXで報告したところでは、Ajnaはイーサリアム上での清算会計の操作と同社が表現した攻撃により約77万5,000ドルの損失を出し、うちsyrupUSDCプールだけで17万3,700ドルが被害にあった。
Defimonによれば、最初の攻撃取引の1時間以上前に攻撃の準備を検知しチームにDiscordで警告したが、Ajnaは「反応しなかった」という。この一件は、オンチェーン監視ツールがリアルタイムで攻撃準備を検知する一方、プロトコルチームが対処可能な時間内に対応できない最新の事例となっている。
Ajnaは「異常な動き」を調査中であることを確認し、ユーザーに対して全資金の引き出し、ローンの返済、プロトコルとの相互作用の停止を呼びかけた。
DefiLlamaのデータによると、Ajnaのトータルバリューロック（TVL）は約24万6,880ドルで、直近30日間で71.3%減少している。
監査済みプロトコルにとって高くつく時期
「2026's State of Crypto Security」と題するCoinGeckoの報告書は、2025年1月から2026年7月の間に245件超の事件を記録し、損失総額は36.3億ドルに達したとしている。うち147件は監査済みプロトコルを対象とし、盗まれた資本の88.44%を占めた。多くの攻撃は監査範囲内のバグではなく、インフラ、サードパーティサービス、ガバナンス、人的ミスを悪用したものであり、これはパートナー発行のカード契約に起因したAviciの事件も、警告が無視されたとされるAjnaの事件も当てはまるパターンである。
こうした損失を吸収できる保険カバレッジも縮小している。アクティブなオンチェーン保険は市場の20.2%まで低下し、1億6,320万ドルから1億3,020万ドルに減少したと報じられている。さらに、9つのオンチェーン保険プロトコルのうち5つが2026年8月までに活動停止または方向転換したとされる。このため、保険ではなくプロトコル自体が資金を拠出するAviciのような返金が、被害を受けたユーザーにとって主要な救済手段であり続ける可能性が高く、約束された返金が完全に実行されるかどうかが、被害を受けた1,685人のカード保有者にとって最大の未解決の疑問となっている。
