" Уязвимость в устаревшем контракте карты Rain привела к потере примерно $1,1 млн в нескольких программах на базе Solana, включая $500 800 у 1685 пользователей Avici, что обрушило токен AVICI необанка на целых 49%.
AVICI - нескастодиальный необанк, позволяющий пользователям тратить криптовалюту с помощью кредитной карты, интегрированной с Visa, - упал с 24-часового максимума в $0,43 до рекордно низкого уровня в $0,217, прежде чем восстановиться примерно до $0,378 на момент написания.
Tria, другой криптовалютный необанк, сообщил, что пострадали 636 пользователей, что привело к убыткам на общую сумму более $430 000. Он пообещал полностью возместить убытки пользователям, даже несмотря на то, что в какой-то момент его токен упал более чем на 10%.
Avici заявила, что атака ограничилась контрактом Solana, хранящим средства после пополнения клиентами своих карт. Кошельки самостоятельного хранения в совместимых сетях Solana и Ethereum не пострадали, и компания заявила, что все затронутые балансы карт будут возмещены.
Rain сообщила, что в ходе мониторинга была выявлена уязвимость в устаревшей версии контракта, используемой Avici и небольшим количеством других программ. Компания обновила все программы, которые работают на этой версии, и не зафиксировала дальнейшей несанкционированной активности.
В условиях Avici указано, что эмитентом карты является Third National, а Rain, основной участник Visa, предоставляет базовую инфраструктуру для карт на основе стейблкоинов.
Данные транзакций показывают, что злоумышленник неоднократно отправлял подписанные авторизации, добавлял себя в качестве администратора к отдельным счетам, обеспеченным картами, и выводил их балансы. Украденные стейблкоины были обменяны на Solana (SOL), переведены в Ethereum и в конечном итоге отправлены через криптовалютный микшер Tornado Cash.
Разница между примерно $1,1 млн, отслеженными в блокчейне, и заявленными потерями Avici указывает на то, что пострадали и другие программы, работающие на платформе Rain.
Ни одна из компаний не идентифицировала эти программы и не раскрыла общую сумму потерь каждой из них.
Инцидент раскрывает схему передачи контроля за некоторыми самокастедиальными картами криптовалют. Пользователи контролировали деньги, хранящиеся в кошельках Avici, но средства, загруженные для расходов, переводились в контракт третьей стороны.
Эта особенность становится все более существенной, поскольку в июле объем отслеживаемых расходов по криптовалютным картам увеличился более чем в три раза, достигнув $1,04 млрд, при этом стейблкоины обеспечили финансирование 70% из более чем 10 млн транзакций.
Компания Avici сообщила, что подала заявление в Центр по рассмотрению жалоб на интернет-преступления Федерального бюро расследований. В настоящее время не сообщается, когда поступят возвраты средств и каким образом они будут осуществлены.
