En angriper tømte over $ 653 000 fra kortsikkerhetsvalv hos Avici, en Solana neobank hvis egen dokumentasjon lovet at kun brukerens egen lommebok noen gang kunne flytte disse midlene.
Tokenet Avici (AVICI) har siden falt omtrent 40 % til $ 0,24. Beløpet som ble tatt utgjør nesten en femtedel av hele markedsverdien.
Hva Avici-angrepet utnyttet
Avici tilbyr et Visa-kredittkort som er støttet av USDC. Brukerne låser stablecoins i en smartkontrakt, og bruk av kortet trekker ned saldoen. Third National utsteder kortet, ikke Avici.
“Kun brukerens lommebok kan ta ut midler fra escrow-kontrakten etter å ha trukket fra forbruket,” står det i selskapets dokumentasjon, og viser hvem som har kontrollen.
Fredag ble likevel valvene tømt, med en oppdatert oversikt som viste at $ 653 548 var trukket ut i skrivende stund.
Egenforvaring satte grensen for hvem som ikke kunne ta ut pengene. Men den fjernet ikke alt av privilegerte muligheter skrevet inn i selve programmet. Det var der midlene forsvant.
Forskere på blokkjeden sier at angriperen sendte inn en spesiallaget signaturpakke, gjorde seg selv til administrator på escrow-kontoene og deretter tok ut midlene. Avici har ikke bekreftet denne metoden.
Følg oss på X for å få med deg nyhetene idet de skjer
Hvorfor dette ikke er et treasury-hack
Hver kunde har en egen escrow-kontrakt. Dermed ble pengene tatt ut konto for konto. Det fantes ingen enkelt pott å tømme.
Det minner om et velkjent mønster, som da et Solana governance-angrep tok $ 20 000 000 fra én BONK DAO treasury i et enkelt angrep.
Associerte tokens rister sjelden av seg slike hendelser, noe som forklarer at AVICI-tokenet falt nesten 40 %. På samme måte førte et bridge-angrep til at Midnights token nådde rekordlavt nivå i juli.
Avici har kun uttalt at de er klar over et problem som påvirker uttak av kortsaldo. Ingen rapport er publisert i etterkant.
Selskapet har ikke sagt om resterende valv fortsatt kan hentes ut, eller om oppgjør med Third National er påvirket.
