Avici, un banco digital de criptomonedas, fue atacado mediante un exploit de un contrato inteligente que provocó unas pérdidas de aproximadamente 1,1 millones de dólares, y su token nativo AVICI cayó desde un máximo de 24 horas de 0,43 dólares hasta un mínimo histórico de 0,217 antes de recuperarse hasta alrededor de 0,378. Según Sina Finance, el incidente expuso riesgos de seguridad en el flujo de financiación de las tarjetas cripto de autocustodia.
El atacante aprovechó una vulnerabilidad en una versión desactualizada del contrato de la tarjeta Rain, enviando repetidamente transacciones de autorización firmadas, añadiéndose como administrador de ciertas cuentas de colateral de la tarjeta y retirando saldos. Las stablecoins robadas se convirtieron en tokens de la blockchain de Solana, se transfirieron mediante un puente entre cadenas a la red de Ethereum y, finalmente, se enviaron a Tornado Cash.
Los datos en cadena mostraron que, de los aproximadamente 1,1 millones de dólares robados, alrededor de 500.800 dólares en pérdidas correspondieron a 1.685 usuarios de Avici, mientras que más de 430.000 dólares en pérdidas correspondieron a 636 usuarios de Tria. Tria dijo que compensaría íntegramente a los usuarios, y su token en un momento cayó más de un 10%.
Avici dijo que el ataque se limitó al contrato de Solana donde se almacenan los fondos de los usuarios después de los depósitos, y que sus carteras de autocustodia en Solana y en redes compatibles con Ethereum no se vieron afectadas. La empresa dijo que reembolsaría íntegramente los saldos de las tarjetas de los usuarios afectados. Rain dijo que su sistema de monitoreo identificó la vulnerabilidad, actualizó todos los programas que se ejecutaban con esa versión del contrato y no encontró más actividad anormal.
Los términos de servicio de Avici muestran que sus tarjetas las emite Third National, mientras que Rain proporciona la infraestructura subyacente de tarjetas de stablecoin como miembro destacado de Visa. Las empresas no divulgaron ningún otro proyecto afectado ni el monto total de las pérdidas.
Avici dijo que había presentado un informe ante el Centro de Quejas por Delitos en Internet del FBI, pero no ha anunciado un calendario de compensación ni una fuente de financiación.