Serangan Terhadap Platform Kartu Kripto Avici
Sebuah serangan yang sedang berlangsung terhadap platform kartu kripto berbasis Solana, Avici, dilaporkan telah menguras lebih dari $1 juta dari akun jaminan pengguna, sekaligus menjatuhkan nilai token AVICI ke titik terendah sepanjang masa. Menurut laporan, pelaku yang diduga telah mengumpulkan 10.005,03 SOL, senilai sekitar $1,07 juta pada pukul 18:58 UTC, bersama dengan sekitar $11.600 dalam USDC dan USDT. Analisis ini didasarkan pada log transaksi Solana dan data RPC yang dikumpulkan saat serangan masih berlangsung.
Proses Serangan
Dompet tersebut menerima pendanaan awal melalui deBridge pada pukul 13:40 UTC, ketika 1,79 SOL tiba dari jaringan lain. Setelah tidak aktif selama sekitar tiga jam, alamat tersebut melakukan panggilan pertamanya yang melibatkan program Avici pada pukul 16:49:48 UTC. Log transaksi yang ditinjau menunjukkan proses tiga langkah yang sama di seluruh akun yang terpengaruh:
- Dompet memanggil SubmitSignatures melalui program otorisasi Avici dalam transaksi yang juga menggunakan program verifikasi tanda tangan Ed25519 Solana.
- Pelaku memanggil AddCollateralAdmin pada program jaminan Avici, mendaftarkan administrator tambahan untuk akun pengguna.
- Panggilan WithdrawCollateralAsset terakhir kemudian mentransfer jaminan ke akun yang dikendalikan oleh pelaku.
Dalam satu transaksi yang ditinjau, instruksi penarikan memindahkan 2.346,77 USDT dari akun jaminan pengguna. Pelaku juga mengonversi beberapa stablecoin yang dikumpulkan menjadi SOL, termasuk satu swap yang mengembalikan 209,76 SOL.
Analisis dan Tanggapan Avici
Pada titik pemeriksaan, dompet tersebut telah menandatangani 14.672 transaksi, di mana 2.344 di antaranya gagal. Kepemilikan SOL-nya meningkat sekitar 2.595 token, yang kemudian bernilai sekitar $277.000, selama periode 11 menit. Analis on-chain anonim, STACC, juga membuat pelacak langsung untuk transfer yang terpengaruh. Menurut angka yang dikutip dari pelacak, 125 akun pengirim telah diidentifikasi, dengan transfer individu berkisar dari sekitar 9 USDC hingga lebih dari 26.000 USDT.
Baik Avici maupun perusahaan keamanan independen belum menerbitkan laporan pasca kejadian yang mengidentifikasi bagaimana pelaku memperoleh otorisasi. Meskipun urutan transaksi menunjukkan bagaimana dana berpindah, itu tidak menetapkan apakah insiden tersebut disebabkan oleh cacat program, kredensial yang dikompromikan, otoritas tanda tangan yang terekspos, atau kegagalan lainnya. Avici mengakui insiden tersebut dalam sebuah posting di X yang diterbitkan sekitar satu jam dan 53 menit setelah transaksi pertama yang dilaporkan melibatkan programnya. “Kami menyadari adanya masalah yang mempengaruhi penarikan saldo kartu dan sedang memantau situasi dengan cermat,” tulis mereka.
Pertanyaan yang Belum Terjawab
Beberapa pertanyaan lain juga tetap belum terjawab, termasuk apakah aktivitas telah berhenti, apakah Avici telah menghentikan programnya, dan apakah pengguna yang terpengaruh akan menerima kompensasi. Perusahaan belum mengungkapkan apakah ada kunci tanda tangan atau akun administratif yang dikompromikan. Pengguna telah melaporkan saldo yang hilang di media sosial sebelum Avici merilis pernyataannya. Salah satu pengguna secara khusus mengatakan bahwa seluruh saldo Avici mereka telah habis saat mereka menunggu informasi dari proyek tersebut.
Implikasi dan Dampak pada AVICI
Insiden ini berkaitan dengan program jaminan dan otorisasi kartu Avici, bukan jaringan Solana itu sendiri. Tidak ada laporan yang tersedia yang mengidentifikasi kerentanan dalam blockchain dasar Solana. Kedua program Avici dapat ditingkatkan dan berbagi otoritas peningkatan yang sama, menurut laporan. Otoritas tersebut dilaporkan merupakan akun Solana standar, bukan akun multisignature, meskipun belum ada bukti yang menunjukkan bahwa otoritas peningkatan menyebabkan atau memungkinkan penarikan.
AVICI turun 49,4% dalam 24 jam menjadi $0,2175 saat laporan penarikan menyebar, menurut data CoinGecko yang dikutip saat itu. Penjualan tersebut mengurangi kapitalisasi pasar token menjadi sekitar $2,84 juta dan mendorong harganya ke titik terendah yang belum pernah terjadi sebelumnya. Volume perdagangan mencapai sekitar $656.543 selama periode 24 jam yang sama.
Profil Perusahaan Avici
Avici Inc. adalah perusahaan AS yang mencantumkan alamat San Francisco di situs webnya, sementara kebijakan privasinya mengidentifikasinya sebagai korporasi Delaware. Platform ini juga menyediakan syarat kartu terpisah untuk pelanggan AS, menciptakan eksposur langsung bagi pengguna Amerika yang memenuhi syarat dari layanan dompet dan kartu aman. Perusahaan mengumpulkan $3,5 juta melalui penjualan token MetaDAO yang dibatasi pada bulan Oktober 2025.
