クリプトカード基盤におけるセキュリティ脆弱性の悪用により、Solanaベースの複数のプログラムから約110万ドルが流出し、AviciのAVICIトークンの急落売りを引き起こした。同トークンは最大49%下落し、24時間高値の約0.43ドルから史上最安値の0.217ドル付近まで下げた後、一部を回復した。

この事件は、特にカード決済をサードパーティ製コントラクトに依存するセルフカストディ型システムにおいて、クリプト決済基盤のセキュリティリスクへの懸念を再燃させた。また、多くのプラットフォームが同じベンダーやコントラクトテンプレートに依存する場合、単一の脆弱性が複数企業に同時に損失を波及させうるという、業界全体の構造的問題も浮き彫りにした。これは、共有されるスマートコントラクトライブラリが過去の攻撃で無関係なプロトコル間でも損失を拡大させた事例と類似している。

カードコントラクトの悪用による損失

攻撃は、Aviciなどが利用していた旧バージョンのRainカードコントラクトを標的とした。この脆弱性により、攻撃者は個々のカード担保アカウントの管理権限を取得し、残高を引き出すことが可能となった。

Aviciによれば、約50万800ドルが1,685人のユーザーから奪われた。同社によると、侵害の影響を受けたのはカード決済用に保有されていた資金であり、ユーザーのセルフカストディウォレットは影響を受けていない。この区別は、ユーザーの被曝範囲の実際の境界を定義する点で重要である。つまり、プライマリウォレットに残された資産は無傷だったが、カード決済システムに移した資金はそうではなかった。

別のクリプトネオバンク、Triaは636人のユーザーに関わる43万ドル超の損失を報告した。同社のトークンも事件後に10%超下落した。

AviciとTriaはいずれも被害を受けたユーザーへの全額補償を約束したが、両社とも返金の最終的な時期は明らかにしていない。補償が実行されるかどうか、そしてどれほど迅速に行われるかは、今後の両プラットフォームへのユーザーの信頼を左右するとみられる。

Rain、脆弱なコントラクトを修正

Rainは、自社のカードコントラクトの旧バージョンに問題を特定し、影響を受けるバージョンを利用していたプログラムをアップグレードしたと発表した。同社によれば、アップグレード後は追加の不正アクティビティは確認されていない。

ブロックチェーンのトランザクションデータによると、盗まれたステーブルコインはSolanaのSOLに換えられ、ネットワーク間を移動した後、最終的にTornado Cashへ送金された。Tornado Cashは、2022年に米財務省外国資産管理局(OFAC)の制裁を受けた仮想通貨ミキシングサービスである。ミキサー経由の送金は、オンチェーン上の追跡を困難にするため、仮想通貨窃盗における一般的な資金洗浄の手口となっている。

オンチェーンで追跡された約110万ドルは、AviciとTriaが公表した損失を上回っており、同じ基盤を利用する他のプログラムも影響を受けた可能性を示唆している。ただし、それらの名称や損失額は明らかにされていない。この差額は、オンチェーン分析担当者が資金の追跡を続ける中で、さらなる公表が行われる可能性を残している。

この事件は、クリプトカードユーザーにとって重要なリスクを浮き彫りにする。顧客がプライマリウォレットを管理していても、決済システムに移した資金は別個のサードパーティ製スマートコントラクトの管理下に置かれうるのだ。また、クリプトネオバンクが共有コントラクト基盤の上に決済製品を構築する中で生じる依存関係を示してもおり、旧バージョンのパッチ適用を下流の全利用者に対して行う責任はベンダーに帰属することとなる。

Aviciは、この事件をFBIのインターネット犯罪苦情センター(IC3)に報告したと述べた。クリプトカードの利用拡大が続く中で、本侵害はデジタル資産を支える決済基盤全体におけるセキュリティ管理の重要性を高めている。