Insidente ng Pag-atake sa Avici
Isang patuloy na atake laban sa Solana-based na crypto card platform na Avici ang iniulat na nag-alis ng higit sa $1 milyon mula sa mga collateral account ng mga gumagamit, habang ang AVICI token nito ay bumagsak sa pinakamababang antas sa kasaysayan. Ayon sa mga ulat, ang hinihinalang umaatake ay nakalikom ng 10,005.03 SOL, na nagkakahalaga ng humigit-kumulang $1.07 milyon sa 18:58 UTC, kasama ang humigit-kumulang $11,600 sa USDC at USDT.
Mga Detalye ng Atake
Ang pagsusuri nito ay batay sa mga tala ng transaksyon ng Solana at data ng RPC na nakalap habang ang atake ay patuloy pa. Ang wallet ng umaatake ay nakatanggap ng paunang pondo sa pamamagitan ng deBridge sa 13:40 UTC, nang ang 1.79 SOL ay dumating mula sa ibang network. Matapos ang tatlong oras na hindi aktibo, ang address ay gumawa ng unang tawag na may kinalaman sa mga programa ng Avici sa 16:49:48 UTC.
Ipinakita ng mga tala ng transaksyon na sinuri ng publikasyon ang parehong tatlong hakbang na proseso sa mga apektadong account:
- SubmitSignatures – awtorisasyon ng programa ng Avici sa isang transaksyon na ginamit din ang Ed25519 signature verification program ng Solana.
- AddCollateralAdmin – nagrehistro ng karagdagang administrador para sa account ng gumagamit.
- WithdrawCollateralAsset – naglipat ng collateral sa isang account na kontrolado ng umaatake.
Sa isang sinuring transaksyon, ang utos ng pag-withdraw ay naglipat ng 2,346.77 USDT mula sa collateral account ng isang gumagamit. Ang umaatake ay nag-convert din ng ilan sa mga nakolektang stablecoins sa SOL, kabilang ang isang swap na nagbalik ng 209.76 SOL.
Mga Epekto at Reaksyon
Sa checkpoint ng publikasyon, ang wallet ay pumirma ng 14,672 na transaksyon, kung saan 2,344 ang nabigo. Ang mga hawak nitong SOL ay tumaas ng humigit-kumulang 2,595 token, na nagkakahalaga ng humigit-kumulang $277,000, sa loob ng isang 11 minutong panahon. Ang hindi nagpapakilalang on-chain analyst na si STACC ay lumikha din ng isang live tracker para sa mga apektadong transfer.
Ayon sa mga numerong binanggit mula sa tracker, 125 na sending accounts ang natukoy, na may mga indibidwal na transfer na nagmumula sa humigit-kumulang 9 USDC hanggang higit sa 26,000 USDT.
Wala ni Avici o isang independiyenteng kumpanya ng seguridad ang nag-publish ng post-mortem na tumutukoy kung paano nakuha ng umaatake ang awtorisasyon. Bagaman ipinapakita ng pagkakasunod-sunod ng transaksyon kung paano lumipat ang mga pondo, hindi nito itinatag na ang insidente ay resulta ng isang depekto sa programa, compromised credentials, isang exposed signing authority, o ibang pagkukulang.
Reaksyon ng Avici
Kinilala ng Avici ang insidente sa isang post sa X na inilathala mga isang oras at 53 minuto pagkatapos ng unang naiulat na transaksyon na may kinalaman sa mga programa nito.
“Alam namin ang isang isyu na nakakaapekto sa mga pag-withdraw ng balanse ng card at malapit naming minomonitor ang sitwasyon.”
Idinagdag ng kumpanya na nakikipagtulungan ito nang direkta sa mga kaugnay na kasosyo at magbibigay ng mga update kapag mas maraming impormasyon ang naging available. Hindi tinawag ng Avici ang insidente bilang isang exploit, hindi kinumpirma kung gaano karami ang nakuha o nagsabi kung gaano maraming mga customer ang naapektuhan.
Mga Tanong at Alalahanin
Maraming iba pang mga tanong ang nananatiling walang sagot, kabilang ang kung huminto na ang aktibidad, kung pinahinto ng Avici ang mga programa nito, at kung makakatanggap ng kompensasyon ang mga apektadong gumagamit. Hindi inihayag ng kumpanya kung ang anumang signing keys o administrative accounts ay na-compromise. Ang mga gumagamit ay nag-ulat ng nawawalang balanse sa social media bago inilabas ng Avici ang kanilang pahayag.
Impormasyon Tungkol sa Avici
Inilarawan ng Avici ang kanilang produkto bilang isang self-custodial wallet na nakakonekta sa isang secured Visa credit card. Ang kanilang listing sa Apple App Store ay nagsasaad na ang mga gumagamit ay nananatiling may kontrol at na ang Avici ay hindi kailanman humahawak ng kanilang mga pondo. Sa ilalim ng modelo ng card, ang mga customer ay nagdedeposito ng crypto sa mga collateral account at tumatanggap ng katumbas na credit limit.
Ang mga pagbili ay nagpapababa ng available na balanse ng card, habang ang kaugnay na collateral ay ginagamit para sa settlement. Ang iniulat na kakayahang magdagdag ng isa pang administrador at alisin ang hindi nagastos na collateral ay nagdudulot ng mga tanong tungkol sa kung paano pinapatupad ng mga awtorisasyon ng Avici ang kanilang inadvertise na self-custody model.
Market Reaction
Ang AVICI ay bumagsak ng 49.4% sa loob ng 24 na oras sa $0.2175 habang kumalat ang mga ulat ng mga pag-withdraw, ayon sa data ng CoinGecko na binanggit sa oras na iyon. Ang selloff ay nagbawas ng market capitalization ng token sa humigit-kumulang $2.84 milyon at itinulak ang presyo nito sa isang rekord na mababa.
Ang trading volume ay umabot sa humigit-kumulang $656,543 sa parehong 24 na oras na panahon. Karamihan sa AVICI trading ay naganap sa pamamagitan ng futarchy automated market maker ng MetaDAO, habang ang LBank, KCEX at MEXC ay nag-account para sa natitirang naiulat na aktibidad.
Impormasyon sa Kumpanya
Ang Avici Inc. ay isang kumpanya sa US na naglilista ng isang address sa San Francisco sa kanilang website, habang ang kanilang privacy policy ay tumutukoy dito bilang isang Delaware corporation. Ang platform ay nagbibigay din ng hiwalay na mga tuntunin ng card para sa mga customer sa US, na lumilikha ng direktang exposure para sa mga karapat-dapat na Amerikanong gumagamit ng kanilang wallet at secured card services.
Ang kumpanya ay nakalikom ng $3.5 milyon sa pamamagitan ng isang capped MetaDAO token sale noong Oktubre 2025. Ipinapakita ng fundraising record ng MetaDAO na 7,352 na contributors ang nangako ng humigit-kumulang $34.23 milyon, ngunit ang Avici ay nagbalik ng humigit-kumulang 89.8% ng ipinangakong USDC matapos ilapat ang sale cap.
Ang alok ay nagpresyo ng AVICI sa $0.35 at pinahalagahan ang proyekto sa humigit-kumulang $4.52 milyon sa isang fully diluted basis. Nag-isyu ang Avici ng 10 milyong token sa pamamagitan ng benta, na kumakatawan sa humigit-kumulang 77.5% ng supply nito na 12.9 milyong token.
