古いバージョンのRainカードコントラクトの脆弱性により、複数のSolanaベースのプログラムから約110万ドルが流出し、そのうち50万800ドルはネオバンクAviciの1,685人のユーザーからの被害で、AVICIトークンは最大49%急落しました。

Visa連携クレジットカードで暗号資産を利用できるセルフカストディアル型ネオバンクであるAVICIは、24時間高値の0.43ドルから史上最低値の0.217ドルまで下落した後、執筆時点では約0.378ドルに回復しています。

別の暗号ネオバンクであるTriaは、636人のユーザーが影響を受け、損失総額は43万ドルを超えたと報告しました。同社はトークンが一時10%以上下落する中、ユーザーに全額返済すると約束しました。

Aviciは、攻撃は顧客がカードにチャージした後の資金を保有するSolanaコントラクトに限定されていたと説明しました。Solanaおよびイーサリアム互換ネットワーク上のセルフカストディアルウォレットは影響を受けておらず、影響を受けたすべてのカード残高は返金されると同社は述べています。

Rainは、自社の監視により、Aviciおよび少数の他プログラムで使用されていた古いコントラクトバージョンの脆弱性を特定したと発表しました。同社はそのバージョンを実行しているすべてのプログラムをアップグレードし、それ以上の不正活動は確認されなかったと報告しています。

Aviciの規約によると、カード発行元はThird Nationalであり、VisaのプリンシパルメンバーであるRainが基盤となるステーブルコインカードインフラを提供しています。

トランザクションデータによると、攻撃者は署名済みの承認を繰り返し提出し、個々のカード担保アカウントに自身を管理者として追加して残高を引き出しました。盗まれたステーブルコインはソラナ（SOL）に交換され、イーサリアムへブリッジされ、最終的に暗号ミキサーのTornado Cashに送金されました。Tornado Cashは、盗難資金のマネーロンダリングへの利用により2022年に米国財務省から制裁を受けたプロトコルであり、追跡と回収を困難にするのが通常です。

オンチェーンで追跡された約110万ドルとAviciが報告した損失との差は、Rainを利用する他のプログラムも被害に遭ったことを示しています。両社ともそれらのプログラムを特定しておらず、各損失額の合計も開示していません。

この事件は、一部のセルフカustodial型暗号カードの根底にあるカストディ（保管）の委託構造を浮き彫りにしています。ユーザーはAviciウォレット内の資金を管理していましたが、支払いのためにチャージされた資金は第三者のコントラクトに移動していました。この種のスマートコントラクト悪用――共有インフラの欠陥が複数の依存プログラムに同時に影響を及ぼすもの――は暗号分野で繰り返し見られるパターンであり、第三者インフラへの依存は、たった一つの古いコントラクトバージョンが複数サービスの顧客を同時に露出させうることを意味します。

この区別は、7月に追跡対象の暗号カード支出が3倍以上の10.4億ドルに増加し、ステーブルコインが1,000万件超の取引の70%を資金調達したことで、より重要になっています。より多くの消費者資金がユーザー管理のウォレットではなく中間コントラクトを経由するにつれ、この事件は購入者が注目すべき疑問を示しています。すなわち、カードプログラムがカストディ構造、コントラクト監査の実施状況、被害を受けた残高の返金時期を開示しているかどうかです。

Aviciは、連邦捜査局（FBI）のインターネット犯罪苦情センター（IC3）に届け出たと述べています。返金がいつ行われ、どのように資金調達されるかについては、まだ明らかにされていません。

出典：CoinDesk