Solana-gebaseerde neobank Avici zal 1.685 gebruikers volledig vergoeden nadat een aanvaller een verouderd cardcontract van uitgiftepartner Rain misbruikte en $500.859,22 uit klanttegoeden op betaalkaarten wegsluisde.

De definitieve afrekening volgde nadat vroege onchain-schattingen de aanval op meer dan $1 miljoen zetten, terwijl fondsen zich snel ophoopten in adressen die door de aanvaller werden gecontroleerd. Avici’s self-custodial Solana- en EVM-wallets werden niet getroffen. De kwetsbare infrastructuur was het afzonderlijke Solana-contract dat tegoeden beheerde die gebruikers naar het cardsysteem hadden verplaatst, wat het verschil onderstreept tussen walletbewaring en de card rails die voor betalingen worden gebruikt.

Verouderd Rain-contract stond ongeautoriseerde opnames toe

Rain identificeerde de kwetsbaarheid in een verouderde versie van zijn Solana-contracten die door Avici en een klein aantal andere programma’s werden gebruikt. Elke implementatie die nog op de getroffen versie draaide, is inmiddels geüpgraded, en na de fix is geen verdere ongeautoriseerde activiteit gedetecteerd.

De eerste geïdentificeerde kwaadaardige interactie bereikte Avici-gerelateerde contracten op 16:49:48 UTC. De aanvaller riep herhaaldelijk SubmitSignatures aan, gevolgd door AddCollateralAdmin en WithdrawCollateralAsset, waarmee een route ontstond om administratieve bevoegdheid toe te voegen voordat activa uit afzonderlijke collateralaccounts werden verwijderd. Het adres van de aanvaller ondertekende uiteindelijk 14.672 transacties, waaronder 2.344 mislukte pogingen.

Eén beoordeelde transactie verwijderde 2.346,77 USDT uit één collateralaccount. De wallet had aanvankelijk slechts 1,79 SOL ontvangen via deBridge voordat de aanval begon, en zette vervolgens delen van de onttrokken stablecoins om in SOL terwijl de afroming doorging.

De fout zit in de cardinfrastructuur en niet in Solana zelf of in Avici’s self-custodial walletsysteem. Gebruikers liepen pas risico nadat zij activa van hun wallets hadden verplaatst naar het afzonderlijke contract dat wordt gebruikt om besteedbare kaarttegoeden te onderhouden, waardoor het incident cardmiddelen trof in plaats van tegoeden die rechtstreeks in de wallets van gebruikers werden aangehouden.

Avici belooft volledige terugbetalingen en neemt contact op met de FBI

Elke getroffen kaarttegoedstand zal onder Avici’s terugbetalingsverplichting worden hersteld. Het bedrijf heeft ook een melding ingediend bij het Internet Crime Complaint Center van de FBI en blijft in contact met Rain en beveiligingspartners terwijl de transacties worden gereconcilieerd.

Rain heeft externe forensische onderzoekers ingeschakeld en is van plan samen te werken met wetshandhaving en relevante toezichthouders. De remediëring bestrijkt alle programma’s die nog steeds de kwetsbare Solana-contractversie gebruikten, niet alleen de Avici-implementatie.

De scheiding tussen actuele en verouderde contracten lijkt op de Raydium-drain van juni, waarbij een logische fout nog steeds exploiteerbaar bleef in verouderde Solana-liquidity pools, ook al waren die pools al verdwenen uit Raydium’s huidige interface.

Een ander Solana-protocol, Allbridge Core, pauzeerde in juli na een afzonderlijke flashloan-aanval die de boekhouding van stablecoin-pools manipuleerde en meer dan $1 miljoen ontvreemdde.

AVICI daalt naar recordlaagte tijdens de afroming

AVICI werd scherp verkocht terwijl gebruikers ontbrekende kaarttegoeden begonnen te delen en de aanval actief bleef. De token daalde tot een all-time low rond $0,219, ongeveer de helft van de intradaypiek van $0,446, voordat een deel van het verlies werd goedgemaakt.

AVICI handelde na de terugbetalingsaankondiging rond $0,27, nog steeds ongeveer 38% lager over 24 uur, met een marktkapitalisatie van ongeveer $3,4 miljoen en een 24-uurs handelsvolume van ongeveer $1,2 miljoen.