Avici, une banque numérique de crypto-monnaies, a été touchée par une faille d’un contrat intelligent qui a entraîné environ 1,1 million de dollars de pertes, et son jeton natif AVICI a chuté d’un plus haut sur 24 heures de 0,43 $ à un plus bas historique de 0,217 $ avant de rebondir à environ 0,378 $. Selon Sina Finance, l’incident a mis en lumière des risques de sécurité dans le flux de financement des cartes crypto en auto-conservation.

L’attaquant a exploité une vulnérabilité dans une version obsolète du contrat de la carte Rain, en soumettant à répétition des transactions d’autorisation signées, en s’ajoutant en tant qu’administrateur de certains comptes de garantie de carte, puis en retirant les soldes. Les stablecoins volés ont été convertis en jetons de la blockchain Solana, acheminés via un pont inter-chaînes vers le réseau Ethereum, puis finalement envoyés à Tornado Cash.

Les données on-chain ont montré qu’à partir des quelque 1,1 million de dollars dérobés, environ 500 800 dollars de pertes concernaient 1 685 utilisateurs d’Avici, tandis que plus de 430 000 dollars de pertes concernaient 636 utilisateurs de Tria. Tria a déclaré qu’elle indemniserait intégralement les utilisateurs, et que son jeton a, à un moment, chuté de plus de 10 %.

Avici a déclaré que l’attaque était limitée au contrat Solana où les fonds des utilisateurs sont stockés après les dépôts, et que ses portefeuilles en auto-conservation sur les réseaux Solana et compatibles Ethereum n’étaient pas affectés. La société a indiqué qu’elle rembourserait intégralement les soldes des cartes des utilisateurs touchés. Rain a déclaré que son système de surveillance avait identifié la vulnérabilité, mis à niveau tous les programmes exécutant cette version du contrat, et n’avait trouvé aucune autre activité anormale.

Les conditions d’utilisation d’Avici indiquent que ses cartes sont émises par Third National, tandis que Rain fournit l’infrastructure sous-jacente de carte adossée à un stablecoin, en tant que membre majeur de Visa. Les entreprises n’ont divulgué aucun autre projet concerné ni le montant total des pertes.

Avici a déclaré avoir déposé un rapport auprès du FBI au Cybercrime Complaint Center, mais elle n’a pas annoncé de calendrier d’indemnisation ni de source de financement.