Злоумышленник вывел более $653 000 из хранилищ карточного обеспечения Avici — Solana-необанка, чья собственная документация обещала, что переместить эти средства может только кошелёк самого пользователя.
С тех пор токен Avici (AVICI) упал примерно на 40%, до $0,24. Похищенная сумма составляет почти пятую часть всей его рыночной капитализации.
Что сломал эксплойт Avici
Avici предлагает кредитную карту Visa, обеспеченную USDC. Пользователи блокируют стейблкоин в смарт-контракте, и траты списывают его со счёта. Карту выпускает Third National, а не сама Avici.
«Только кошелёк пользователя может вывести средства из эскроу-контракта после вычета трат», — говорится в документации компании, указывая, у кого находятся ключи.
В пятницу хранилища всё же опустели: по данным live-трекера, на момент написания было выведено $653 548.
Модель самостоятельного хранения определяла, кто НЕ может забрать деньги. Она не устранила все привилегированные пути, заложенные в самой программе. Именно через этот пробел и ушли средства.
Ончейн-исследователи утверждают, что злоумышленник отправил специально сформированный пакет подписей, назначил себя администратором эскроу-счетов, а затем вывел средства. Avici этот метод не подтвердила.
Подписывайтесь на нас в X, чтобы получать последние новости в режиме реального времени
Почему это не взлом казначейства
У каждого клиента отдельный эскроу-контракт. Поэтому деньги выводились по одному счёту за раз. Единого котла, который можно было бы опустошить разом, не существовало.
Это напоминает знакомую схему — например, когда атака на управление Solana в один приём вывела $20 миллионов из казначейства BONK DAO.
Связанные токены редко остаются в стороне от подобных инцидентов, поэтому токен AVICI и упал почти на 40%. Похожим образом взлом моста в июле обрушил токен Midnight до рекордного минимума.
Avici сообщила лишь, что ей известно о проблеме, затрагивающей вывод карточных балансов. Разбора инцидента (post-mortem) пока не последовало.
Компания не сообщила, можно ли всё ещё обратиться к оставшимся хранилищам и затронуты ли расчёты по картам с Third National.
Source: BeInCrypto
