Avici, eine Krypto-Digitalbank, wurde von einem Smart-Contract-Exploits getroffen, der zu etwa 1,1 Millionen US-Dollar Verlusten führte, und sein nativer Token AVICI fiel von einem 24-Stunden-Hoch von 0,43 US-Dollar auf ein Allzeittief von 0,217 US-Dollar, bevor er wieder auf etwa 0,378 US-Dollar anstieg. Laut Sina Finance deckte der Vorfall Sicherheitsrisiken im Funding-Flow von Self-Custody-Krypto-Karten auf.

Der Angreifer nutzte eine Schwachstelle in einer veralteten Version des Rain-Card-Vertrags und reichte wiederholt signierte Autorisierungstransaktionen ein, fügte sich selbst als Administrator bestimmter Card-Collateral-Konten hinzu und zog Guthaben ab. Die gestohlenen Stablecoins wurden in Solana-Blockchain-Token umgewandelt, über eine plattformübergreifende (Cross-Chain-)Brücke in das Ethereum-Netzwerk übertragen und schließlich an Tornado Cash gesendet.

On-Chain-Daten zeigten, dass von den rund 1,1 Millionen US-Dollar, die gestohlen wurden, etwa 500.800 US-Dollar Verluste 1.685 Avici-Nutzer betrafen, während mehr als 430.000 US-Dollar Verluste 636 Tria-Nutzer betrafen. Tria sagte, es würde die Nutzer vollständig entschädigen, und sein Token sei zeitweise um mehr als 10% gefallen.

Avici sagte, der Angriff habe sich auf den Solana-Vertrag beschränkt, in dem die Nutzer-Gelder nach Einzahlungen gespeichert werden, und dass ihre Self-Custody-Wallets auf Solana sowie auf Ethereum-kompatiblen Netzwerken nicht betroffen gewesen seien. Das Unternehmen sagte, es würde die betroffenen Nutzer vollständig für die Kartenguthaben entschädigen. Rain sagte, sein Überwachungssystem habe die Schwachstelle identifiziert, alle Programme aktualisiert, die mit dieser Vertragsversion liefen, und habe keine weiteren ungewöhnlichen Aktivitäten festgestellt.

Aus den Allgemeinen Geschäftsbedingungen von Avici geht hervor, dass ihre Karten von Third National ausgegeben werden, während Rain die zugrunde liegende Stablecoin-Karteninfrastruktur als führendes Visa-Mitglied bereitstellt. Die Unternehmen legten keine weiteren betroffenen Projekte oder die Gesamthöhe der Verluste offen.

Avici sagte, sie habe einen Bericht bei dem FBI Internet Crime Complaint Center eingereicht, habe jedoch noch keinen Zeitplan für eine Entschädigung oder eine Finanzierungsquelle bekannt gegeben.