Isang attacker ang nakakuha ng mahigit $653,000 mula sa card collateral vaults ng Avici, isang Solana neobank. Sinasabi pa nga sa sariling documentation ng Avici na user lang dapat ang pwedeng maglipat ng pera na ‘yon galing wallet nila.
Bumagsak agad ng halos 40% ang presyo ng token ng Avici (AVICI) at naging $0.24. Halos isang-fifth ng buo nitong market cap ang nasungkit sa incident na to.
Ano ang Nangyari sa Avici Exploit?
Nagbebenta ang Avici ng Visa credit card na backed ng USDC. Kinakailangan muna ng users na i-lock ang USDC stablecoin nila sa isang smart contract, at dito kinukuha ang gastos kapag ginagamit ang card. Ang Third National ang issuer ng card, hindi ang Avici mismo.
“Only user’s wallet can withdraw funds from escrow contract after deducting the spends,” ayon sa documentation ng kumpanya, na nagpapaliwanag kung sino lang talaga dapat ang may access sa pondo.
Pero nitong Biyernes, naubos pa rin ang laman ng vaults. Ayon sa live tracker, nasa $653,548 na ang nalimas na pondo.
Maliwanag na naka-set kung sino lang dapat ang may kontrol sa self-custody ng funds, pero hindi nito natanggal ang mga privileged path sa mismong code ng program. Dito in-exploit ng hacker ang butas at dito nailipat ang pondo.
Sabi ng mga on-chain researchers, nag-submit ang attacker ng sariling signature bundle na parang legit, tapos ginawa niyang admin ang sarili niya sa escrow accounts para makapag-withdraw. Wala pang official na confirmation galing sa Avici tungkol dito.
Sunod sa amin sa X para lagi kang updated sa mga balita habang nangyayari!
Bakit Hindi Ito Treasury Hack?
Bawat customer may sarili-sariling escrow contract, kaya account by account ang withdrawal at wala talagang iisang “pot” na nilimas ng todo.
Kabaligtaran ito ng mga naunang insidente tulad ng Solana governance attack kung saan $20 milyon agad ang tinangay mula sa isang BONK DAO treasury sa isang bagsakan lang.
Kadalasan, bagsak talaga ang presyo ng mga token na nadadamay sa ganito kaya halos 40% ang binagsak ng AVICI token. Ganon din ang nangyari nang magka-breach sa bridge ng Midnight at naging record low ang token nila noong July.
Sinabi lang ng Avici na alam nila ang issue tungkol sa withdrawals ng card balance, pero wala pa silang inilabas na post-mortem o detalyadong paliwanag.
Wala ring sinabi kung puwede pa bang withdraw-hin ang natitirang pondo sa iba pang vaults, o kung may epekto ito sa settlement ng card transactions kay Third National.
