Un attaccante ha sottratto oltre 653.000 dollari dai vault di collaterale delle carte di Avici, una neobank su Solana la cui documentazione prometteva che solo il wallet dell’utente potesse mai muovere quei fondi.
Il token Avici (AVICI) da allora è sceso di circa il 40% a 0,24 dollari. La somma sottratta equivale a quasi un quinto dell’intero valore di mercato.
Cosa ha compromesso l’exploit su Avici
Avici vende una carta di credito Visa garantita da USDC. Gli utenti bloccano la stablecoin in uno smart contract e le spese vengono scalate da lì. La carta viene emessa da Third National, non da Avici.
“Solo il wallet dell’utente può prelevare fondi dal contratto escrow dopo la detrazione delle spese,” afferma la documentazione dell’azienda, spiegando in dettaglio chi detiene le chiavi.
Venerdì, comunque, i vault sono stati svuotati, con un tracker live che segnala 653.548 dollari sottratti al momento della stesura.
La self-custody serviva a specificare chi non potesse prendere i fondi. Tuttavia, non ha rimosso ogni percorso privilegiato scritto direttamente nel programma. È proprio da questa falla che i fondi sono stati prelevati.
Ricercatori on-chain affermano che l’attaccante avrebbe presentato una bundle di firme manipolata, ottenendo il ruolo di admin sugli account escrow, per poi prelevare i fondi. Avici non ha ancora confermato questa modalità.
Seguici su X per ricevere tutte le ultime notizie in tempo reale
Perché non si tratta di un attacco alla treasury
Ogni cliente detiene un contratto escrow separato. Quindi il denaro è stato prelevato account per account, senza un unico “fondo” da svuotare.
Questo fa pensare a uno schema già visto, come quando un attacco di governance su Solana ha sottratto 20 milioni di dollari in un solo colpo dalla treasury di BONK DAO.
I token associati difficilmente riescono a ignorare tali eventi, motivo per cui il token AVICI è crollato quasi del 40%. Allo stesso modo, una violazione su bridge ha portato il token di Midnight ai minimi storici a luglio.
Avici ha dichiarato solo di essere a conoscenza di un problema che riguarda i prelievi dei saldi delle carte. Non è stato ancora pubblicato alcun post-mortem.
L’azienda inoltre non si è espressa sul fatto che i vault restanti possano ancora essere svuotati, né se il regolamento delle carte con Third National sia stato impattato.
