Luka w przestarzałym kontrakcie karty Rain spowodowała utratę około 1,1 mln dolarów w kilku programach opartych na Solanie, w tym 500 800 dolarów należących do 1 685 użytkowników Avici, co spowodowało spadek tokenu AVICI tego neobanku o nawet 49%.

AVICI, samodzielnie przechowujący środki neobank pozwalający użytkownikom wydawać kryptowaluty za pomocą karty kredytowej zintegrowanej z Visa, spadł z 24-godzinnego maksimum na poziomie 0,43 dolara do rekordowo niskiego poziomu 0,217 dolara, po czym w momencie pisania wrócił do około 0,378 dolara.

Tria, inny kryptowalutowy neobank, poinformował, że dotkniętych zostało 636 jego użytkowników, a straty sięgnęły ponad 430 000 dolarów. Firma zobowiązała się w pełni zrekompensować użytkownikom straty, mimo że jej token w pewnym momencie spadł o ponad 10%.

Avici oświadczyło, że atak ograniczył się do kontraktu na Solanie przechowującego środki po doładowaniu kart przez klientów. Portfele samodzielne (self-custodial) na Solanie i sieciach zgodnych z Ethereum nie zostały dotknięte, a firma zapewniła, że każde poszkodowane saldo karty zostanie zwrócone.

Rain poinformowało, że jego system monitoringu wykrył lukę w przestarzałej wersji kontraktu używanej przez Avici i niewielką liczbę innych programów. Firma zaktualizowała wszystkie programy korzystające z tej wersji i nie zgłosiła dalszej nieautoryzowanej aktywności.

Zgodnie z warunkami Avici wystawcą karty jest Third National, natomiast Rain, główny członek Visa, zapewnia podstawową infrastrukturę karty opartej na stablecoinach.

Dane transakcyjne pokazują, że atakujący wielokrotnie przesyłał podpisaną autoryzację, dodawał siebie jako administratora do poszczególnych kont zabezpieczających karty i wypłacał ich salda. Skradzione stablecoiny zostały wymienione na solanę (SOL), przetransferowane przez bridge na Ethereum, a ostatecznie przesłane do miksera kryptowalut Tornado Cash — protokołu objętego w 2022 roku sankcjami amerykańskiego Departamentu Skarbu za wykorzystywanie do prania skradzionych środków, co zazwyczaj utrudnia zarówno śledzenie, jak i odzyskiwanie funduszy.

Różnica między około 1,1 mln dolarów śledzonych onchain a zgłoszoną stratą Avici wskazuje, że dotknięte zostały także inne programy korzystające z infrastruktury Rain. Żadna z firm nie zidentyfikowała tych programów ani nie ujawniła łącznej wysokości ich strat.

Incydent uwidacznia przekazanie depozytu, które leży u podstaw niektórych kart krypto z samodzielnym przechowywaniem środków: podczas gdy użytkownicy kontrolowali pieniądze znajdujące się w portfelach Avici, środki załadowane do wydawania trafiały do kontraktu strony trzeciej. Wykorzystania smart kontraktów tego typu — gdy luka we wspólnej infrastrukturze naraz dotyka wielu zależnych programów — są powtarzającym się wzorcem w świecie krypto, a zależność od infrastruktury osób trzecich oznacza, że jedna przestarzała wersja kontraktu może jednocześnie narażać klientów kilku usług.

To rozróżnienie nabiera coraz większego znaczenia, ponieważ śledzone wydatki kartami krypto zwiększyły się ponad trzykrotnie do 1,04 mld dolarów w lipcu, przy czym stablecoiny sfinansowały 70% z ponad 10 milionów transakcji. Wraz z tym, jak coraz więcej środków konsumentów przepływa przez kontrakty pośredniczące zamiast portfeli kontrolowanych przez użytkowników, incydent wskazuje na kwestie, na które nabywcy mogą zwracać uwagę: czy programy kart ujawniają swoją architekturę przechowywania środków, praktyki audytu kontraktów oraz harmonogram zwrotów w przypadku naruszenia sald.

Avici oświadczyło, że złożyło zgłoszenie do Centrum Skarg na Przestępczość Internetową Federalnego Biura Śledczego (FBI IC3). Firma nie podała, kiedy nadejdą zwroty ani jak będą sfinansowane.

Źródło: CoinDesk