Ein Angreifer hat über 653.000 USD aus Kreditkarten-Bestands-Tresoren bei Avici, einer Solana-Neobank, abgezogen, obwohl laut eigener Dokumentation nur die Wallet eines Nutzers dieses Geld bewegen kann.
Der Coin Avici (AVICI) ist seitdem um etwa 40% auf 0,24 USD gefallen. Die entwendete Summe entspricht fast einem Fünftel seines gesamten Marktwerts.
Was der Avici-Exploit gebrochen hat
Avici bietet eine Visa-Kreditkarte an, die mit USDC hinterlegt wird. Nutzer sperren den Stablecoin in einen Smart Contract, beim Bezahlen wird der Bestand reduziert. Die Karte wird von Third National herausgegeben, nicht von Avici.
„Nur die Wallet des Nutzers kann Gelder aus dem Escrow-Contract abheben, nachdem die Ausgaben abgezogen wurden”, heißt es in der Dokumentation von Avici, was auch belegt, wer die Schlüssel kontrolliert.
Am Freitag wurden die Tresore dennoch geleert, ein Live-Tracker zählte zum Zeitpunkt dieses Artikels 653.548 USD, die abgezogen wurden.
Self-Custody sollte zeigen, wer das Geld nicht abheben darf, jedoch beseitigt dies nicht jeden im Programm hinterlegten Sonderweg. Genau diese Lücke wurde für den Abzug genutzt.
On-Chain-Forscher berichten, dass der Angreifer ein speziell signiertes Bündel eingereicht, sich als Admin der Escrow-Konten eingetragen und dann abgehoben hat. Avici hat diese Methode bisher nicht bestätigt.
Folgen Sie uns auf X, um stets die neuesten Nachrichten zu erhalten
Warum es kein Treasury-Hack ist
Jeder Kunde besitzt einen eigenen Escrow-Contract. Daher wurde das Geld Konto für Konto abgezogen. Es gab keinen zentralen Topf, den man komplett leeren konnte.
Das deutet auf ein bekanntes Muster hin, wie damals bei einem Solana-Governance-Angriff, als 20 Millionen USD in einem einzigen Schritt aus einer BONK DAO Treasury abgezogen wurden.
Solen Vorfälle belasten zugehörige Token meistens erheblich, deshalb sank der AVICI-Token um fast 40%. Ähnlich rutschte der Coin von Midnight bei einem Bridge-Angriff im Juli auf ein Rekordtief.
Avici hat lediglich erklärt, dass das Unternehmen von einem Problem bei Kartenguthaben-Abhebungen weiß. Eine vollständige Auswertung gibt es bisher nicht.
Das Unternehmen hat bisher nicht mitgeteilt, ob verbleibende Tresore noch genutzt werden können oder ob die Kartenzahlungen mit Third National betroffen sind.
