يُزعم أن هناك هجومًا مستمرًا ضد منصة بطاقات كريبتو مبنية على سولانا تابعة لشركة Avici قد استنزف أكثر من 1 مليون دولار من حسابات ضمانات المستخدمين، وذلك بينما كان يتم إرسال رمز AVICI الخاص بها إلى أدنى مستوى له على الإطلاق.
ملخص
عند نقطة تفتيش واحدة، كان المهاجم المشتبه يحمل 10,005 SOL وحوالي 11,600 دولار في العملات المستقرة.
أظهرت السجلات على السلسلة اتصالات متكررة تضمنت إضافة مسؤول قبل عمليات سحب الضمانات.
أقرت Avici بوجود مشكلة في سحب رصيد البطاقة، لكنها لم تؤكد الخسارة المبلغ عنها.
انخفضت AVICI بنسبة 49.4% خلال 24 ساعة ولمست أدنى مستوى قياسيًا عند 0.2175 دولار.
مهاجم Avici يضيف مديرين قبل السحوبات
وبحسب التقارير، كان المهاجم المشتبه به قد جمع 10,005.03 SOL، بقيمة تقارب 1.07 مليون دولار عند 18:58 بالتوقيت العالمي، إلى جانب نحو 11,600 دولار من USDC وUSDT. واستند تحليلها إلى سجلات معاملات سولانا وبيانات RPC التي جُمعت بينما كان الهجوم لا يزال جارياً.
تلقى المحفظة تمويلها الأولي عبر deBridge عند الساعة 13:40 بالتوقيت العالمي، عندما وصلت 1.79 SOL من شبكة أخرى. وبعد بقائها خاملة لنحو ثلاث ساعات، أجرى العنوان أول استدعاء له يتعلق ببرامج Avici عند الساعة 16:49:48 بالتوقيت العالمي.
وأظهرت سجلات المعاملات التي راجعتها المنصة العملية ذات الخطوات الثلاث نفسها عبر الحسابات المتأثرة. أولًا، استدعت المحفظة
SubmitSignatures
عبر برنامج التفويض الخاص بـ Avici في معاملة استخدمت أيضًا برنامج التحقق من التوقيع Ed25519 الخاص بسولانا.
قد يعجبك أيضًا: استغلال CCC يستنزف 117 ألف دولار بعد استهداف المهاجم لمجمع سيولة على BSC
بعد ذلك، اتصل المهاجم
AddCollateralAdmin
على برنامج الضمان الخاص بـ Avici، مسجلًا مديرًا إضافيًا لحساب المستخدم. ثم نقل استدعاء WithdrawCollateralAsset النهائي الضمان إلى حساب يسيطر عليه المهاجم.
في إحدى المعاملات التي جرى فحصها، نقلت تعليمات السحب 2,346.77 USDT من حساب ضمان تابع لأحد المستخدمين. كما حوّل المهاجم بعض العملات المستقرة التي جمعها إلى SOL، بما في ذلك عملية مبادلة أعادت 209.76 SOL.
وبحلول نقطة التحقق لدى المنصة، كانت المحفظة قد وقّعت 14,672 معاملة، فشل منها 2,344. وارتفعت حيازاتها من SOL بنحو 2,595 رمزًا، كانت تساوي حينها نحو 277,000 دولار، خلال فترة 11 دقيقة.
كما أنشأ المحلل المجهول على السلسلة STACC متتبعًا مباشرًا للتحويلات المتأثرة. ووفقًا للأرقام المستشهد بها من المتتبع، تم تحديد 125 حسابًا مرسلًا، مع تحويلات فردية تراوحت بين نحو 9 USDC وأكثر من 26,000 USDT.
لم تنشر لا Avici ولا شركة أمنية مستقلة تقريرًا ختاميًا يحدد كيف حصل المهاجم على التفويض. ورغم أن تسلسل المعاملات يوضح كيفية انتقال الأموال، فإنه لا يثبت ما إذا كان الحادث ناتجًا عن خلل في البرنامج، أو بيانات اعتماد مخترقة، أو سلطة توقيع مكشوفة، أو أي فشل آخر.
Avici تؤكد مشكلة سحب البطاقة
أقرت Avici بالحادث في منشور على X نُشر بعد نحو ساعة و53 دقيقة من أول معاملة مبلّغ عنها تتعلق ببرامجها.
«نحن على علم بمشكلة تؤثر على سحوبات رصيد البطاقة ونراقب الوضع عن كثب.»
وأضافت الشركة أنها كانت تعمل مباشرةً مع الشركاء المعنيين وستقدّم تحديثات بمجرد توافر المزيد من المعلومات. ولم تصف أفيسي الحادثة بأنها استغلال، ولم تؤكد مقدار ما جرى أخذه أو تذكر عدد العملاء المتأثرين.
ولا تزال عدة أسئلة أخرى بلا إجابة، بما في ذلك ما إذا كان النشاط قد توقف، وما إذا كانت Avici قد أوقفت برامجها، وما إذا كان المستخدمون المتأثرون سيحصلون على تعويض. ولم تكشف الشركة عمّا إذا كانت أي مفاتيح توقيع أو حسابات إدارية قد تعرّضت للاختراق.
كان المستخدمون قد أبلغوا عن أرصدة مفقودة على وسائل التواصل الاجتماعي قبل أن تصدر أفيسي بيانها. وذكر أحد المستخدمين بشكل لافت أن رصيده الكامل من Avici قد تم استنزافه بينما كان ينتظر معلومات من المشروع.
يتعلق الحادث بضمانات بطاقات Avici وبرامج التفويض الخاصة بها، وليس بشبكة سولانا نفسها. ولم يحدد أي تقرير متاح وجود ثغرة في البلوكشين الأساسي لسولانا.
وبحسب التقارير، كان كلا برنامجي Avici قابلين للترقية ويشتركان في سلطة الترقية نفسها. وقيل إن هذه السلطة كانت حسابًا قياسيًا على سولانا وليس حسابًا متعدد التوقيعات، رغم أنه لا توجد حتى الآن أدلة تُظهر أن سلطة الترقية تسببت في السحوبات أو مكنت منها.
تزايد الاهتمام بضوابط التشغيل مع انتقال الهجمات إلى ما وراء العيوب الموجودة في كود العقود الذكية. وفي يوليو، أفادت crypto.news بنتائج أمنية تُظهر أن المفاتيح المخترقة والموقّعين والبنية التحتية شكّلت 88.3% من نحو 764 مليون دولار سُرقت خلال الربع الثاني من 2026. ووجد تقرير Hacken المشار إليه في المقال أن 4% فقط من المشاريع التي جرى تتبعها جمعت بين عمليات التدقيق وبرامج المكافآت النشطة عن الثغرات والمراقبة من طرف ثالث.
هجوم Avici يثير تحديات أمام ادعاءاتها بالحفظ الذاتي
تصف Avici منتجها بأنه محفظة ذات حفظ ذاتي متصلة ببطاقة Visa ائتمانية مؤمّنة. ويذكر إدراجها في Apple App Store أن المستخدمين يظلون متحكمين وأن Avici لا تحتفظ بأموالهم مطلقًا.
وفقًا لنموذج البطاقة، يودع العملاء العملات المشفرة في حسابات الضمان ويتلقون حدًا ائتمانيًا مطابقًا. وتقلل المشتريات من رصيد البطاقة المتاح، بينما يُستخدم الضمان المرتبط لاحقًا للتسوية.
إن القدرة المبلّغ عنها على إضافة مدير آخر وإزالة الضمان غير المنفق تثير تساؤلات حول كيفية تطبيق ضوابط التفويض في Avici لنموذج الحفظ الذاتي الذي تروّج له. ويتطلب التوصل إلى نتيجة فنية من Avici أو من شركة أمنية مستقلة أن تشرح لماذا تم قبول عمليات إرسال التوقيع الخاصة بالمهاجم.
تحدد وثائق Avici شركة Rain كشريك مشارك في خدمة البطاقة الخاصة بها. وتوفر Rain بنية تحتية لدفع العملات المستقرة وتعمل مع مؤسسات مرخّصة لإصدار بطاقات مرتبطة بـ Visa وMastercard. ويشير تحليل المعاملات المتاح إلى برامج Avici على سولانا، ولم تقل Avici ولا Rain إن أنظمة Rain أو Visa قد تعرّضت للاختراق.
التمييز مهم للمستخدمين لأن منتج الدفع ذو الحفظ الذاتي يفترض أن يبقي الأصول غير المنفقة تحت سيطرة مالك المحفظة. وقدمت Tangem نموذجًا مشابهًا في نوفمبر 2025، مع إنفاق USDC على السلسلة عبر بطاقة Visa افتراضية بينما احتفظ المستخدمون بحيازة أموالهم.
كما شهدت بنية الدفع حوادث منفصلة مرتبطة بالمحافظ. ففي يوليو، حدّد محللون على السلسلة تدفقات خارجية مشبوهة تجاوزت 9.7 مليون دولار من محافظ مرتبطة بمزوّد دفع العملات المستقرة Triple-A عبر شبكات تشمل سولانا وإيثريوم وTRON وTON. ولم تؤكد Triple-A ما إذا كانت أصول العملاء متورطة عند نشر التقرير.
AVICI يتراجع 49% إلى أدنى مستوى له على الإطلاق
انخفض AVICI بنسبة 49.4% خلال 24 ساعة إلى 0.2175 دولار مع انتشار تقارير السحوبات، وفق بيانات CoinGecko التي استُشهد بها في ذلك الوقت. وأدى البيع المكثف إلى خفض القيمة السوقية للرمز إلى نحو 2.84 مليون دولار ودفع سعره إلى أدنى مستوى قياسي.
بلغ حجم التداول نحو 656,543 دولارًا خلال الفترة نفسها البالغة 24 ساعة. وجرت معظم تداولات AVICI عبر صانع السوق الآلي الفوتاركي التابع لـ MetaDAO، بينما شكّلت LBank وKCEX وMEXC ما تبقى من النشاط المبلّغ عنه.
تُظهر CoinGecko أن أعلى سعر قياسي لـ AVICI كان 7.56 دولار، وقد سُجّل في 26 نوفمبر 2025. أما أدنى سعر في يوم الحادثة فترك الرمز أقل بنحو 97% من تلك الذروة.
Avici Inc. هي شركة أمريكية تذكر على موقعها عنوانًا في سان فرانسيسكو، بينما تحدد سياسة الخصوصية الخاصة بها أنها شركة مسجلة في ديلاوير. كما توفر المنصة شروطًا منفصلة للبطاقات للعملاء الأمريكيين، ما يخلق تعرضًا مباشرًا للمستخدمين الأمريكيين المؤهلين لخدمات المحفظة والبطاقة المؤمّنة.
جمعت الشركة 3.5 مليون دولار من خلال بيع محدود لرموز MetaDAO في أكتوبر 2025. وتُظهر سجلات جمع التمويل الخاصة بـ MetaDAO أن 7,352 مساهمًا تعهّدوا بنحو 34.23 مليون دولار، لكن أفيسي أعادت حوالي 89.8% من عملات USDC الموعودة بعد تطبيق حد البيع.
سعّر الطرح AVICI عند 0.35 دولار وقيّم المشروع بنحو 4.52 مليون دولار على أساس مخفف بالكامل. وأصدرت أفيسي 10 ملايين رمز عبر البيع، وهو ما يمثل نحو 77.5% من إجمالي معروضها البالغ 12.9 مليون رمز.
اقرأ المزيد: الذهب المرمّز يصبح ضمانًا منتجًا في إقراض العملات المشفرة، تقول Arch