Serangan yang berkelanjutan terhadap platform kartu kripto berbasis Solana Avici dilaporkan telah menguras lebih dari $1 juta dari akun jaminan (collateral) pengguna sambil mengirim token AVICI ke level terendah sepanjang masa.
Ringkasan
Pelaku yang diduga memiliki 10.005 SOL dan sekitar $11.600 dalam stablecoin pada satu titik pengamatan.
Catatan on-chain menunjukkan panggilan berulang yang menambahkan seorang administrator sebelum penarikan jaminan.
Avici mengakui adanya masalah penarikan saldo kartu, tetapi tidak mengonfirmasi kerugian yang dilaporkan.
AVICI turun 49,4% dalam 24 jam dan menyentuh rekor terendah sebesar $0,2175.
Penyerang Avici menambahkan administrator sebelum penarikan
Menurut laporan, dugaan penyerang telah mengumpulkan 10.005,03 SOL, senilai sekitar $1,07 juta pada 18:58 UTC, bersama sekitar $11.600 dalam USDC dan USDT. Analisisnya didasarkan pada log transaksi Solana dan data RPC yang dikumpulkan saat serangan masih berlangsung.
Dompet tersebut menerima pendanaan awal melalui deBridge pada 13:40 UTC, ketika 1,79 SOL masuk dari jaringan lain. Setelah tidak aktif sekitar tiga jam, alamat itu melakukan panggilan pertamanya yang melibatkan program-program Avici pada 16:49:48 UTC.
Log transaksi yang ditinjau oleh publikasi menunjukkan proses tiga langkah yang sama di seluruh akun yang terdampak. Pertama, dompet memanggil
SubmitSignatures
melalui program otorisasi Avici dalam sebuah transaksi yang juga menggunakan program verifikasi tanda tangan Ed25519 milik Solana.
Anda mungkin juga menyukai: Eksploit CCC menguras $117K setelah penyerang menargetkan kumpulan likuiditas BSC
Selanjutnya, penyerang menelepon
AddCollateralAdmin
pada program jaminan Avici, mendaftarkan administrator tambahan untuk akun pengguna. Panggilan WithdrawCollateralAsset terakhir kemudian memindahkan jaminan ke akun yang dikendalikan oleh penyerang.
Dalam salah satu transaksi yang ditinjau, instruksi penarikan memindahkan 2.346,77 USDT dari akun jaminan milik pengguna. Penyerang juga mengonversi sebagian stablecoin yang terkumpul menjadi SOL, termasuk satu pertukaran yang menghasilkan 209,76 SOL.
Pada tonggak pemeriksaan publikasi, dompet tersebut telah menandatangani 14.672 transaksi, di mana 2.344 di antaranya gagal. Kepemilikan SOL meningkat sekitar 2.595 token, yang kemudian bernilai sekitar $277.000, selama periode 11 menit.
Analis on-chain anonim STACC juga membuat pelacak langsung untuk transfer yang terdampak. Berdasarkan angka yang dikutip dari pelacak tersebut, 125 akun pengirim telah diidentifikasi, dengan masing-masing transfer berkisar dari sekitar 9 USDC hingga lebih dari 26.000 USDT.
Baik Avici maupun perusahaan keamanan independen belum memublikasikan laporan pascainsiden (post-mortem) yang mengidentifikasi bagaimana penyerang memperoleh otorisasi. Meskipun urutan transaksi menunjukkan bagaimana dana berpindah, hal itu tidak membuktikan apakah insiden tersebut terjadi karena celah pada program, kredensial yang dikompromikan, otoritas penandatanganan yang terekspos, atau kegagalan lain.
Avici mengonfirmasi masalah penarikan kartu
Avici mengakui insiden tersebut dalam unggahan X yang dipublikasikan sekitar satu jam 53 menit setelah transaksi pertama yang melibatkan programnya.
“Kami menyadari adanya masalah yang memengaruhi penarikan saldo kartu dan sedang memantau situasinya secara ketat.”
Perusahaan menambahkan bahwa mereka bekerja langsung dengan mitra terkait dan akan memberikan pembaruan begitu informasi lain tersedia. Avici tidak menyebut insiden tersebut sebagai eksploit, tidak mengonfirmasi berapa banyak yang diambil, atau menyatakan berapa banyak pelanggan yang terdampak.
Beberapa pertanyaan lain juga masih belum terjawab, termasuk apakah aktivitas telah berhenti, apakah Avici telah menjeda programnya, dan apakah pengguna yang terdampak akan menerima kompensasi. Perusahaan belum mengungkap apakah ada kunci penandatanganan atau akun administratif yang mengalami kompromi.
Pengguna sebelumnya melaporkan saldo yang hilang di media sosial sebelum Avici merilis pernyataannya. Seorang pengguna secara khusus mengatakan seluruh saldo Avici miliknya telah dikuras saat ia menunggu informasi dari proyek tersebut.
Insiden ini berkaitan dengan jaminan kartu dan program otorisasi Avici, bukan jaringan Solana itu sendiri. Tidak ada laporan yang tersedia yang telah mengidentifikasi kerentanan pada blockchain dasar Solana.
Menurut laporan, kedua program Avici dapat ditingkatkan (upgradeable) dan berbagi otoritas peningkatan yang sama. Otoritas tersebut dilaporkan merupakan akun Solana standar, bukan akun multisignature, meskipun belum ada bukti bahwa otoritas peningkatan menyebabkan atau memungkinkan penarikan.
Kontrol operasional mendapat perhatian yang lebih besar karena serangan bergerak melampaui celah yang tertahan dalam kode smart contract. Pada bulan Juli, crypto.news melaporkan temuan keamanan yang menunjukkan bahwa kunci, penanda (signers), dan infrastruktur yang dikompromikan menyumbang 88,3% dari sekitar $764 juta yang dicuri selama kuartal kedua tahun 2026. Laporan Hacken yang dikutip dalam artikel tersebut menemukan bahwa hanya 4% dari proyek yang dilacak menggabungkan audit, active bug bounties, dan pemantauan pihak ketiga.
Serangan Avici menantang klaim self-custody- nya
Avici menggambarkan produknya sebagai dompet self-custodial yang terhubung ke kartu kredit Visa yang diamankan. Cantuman App Store milik Apple menyatakan bahwa pengguna tetap memegang kendali dan bahwa Avici tidak pernah memegang dana mereka.
Dalam model kartu, pelanggan menyetor kripto ke akun jaminan dan menerima batas kredit yang sesuai. Pembelian mengurangi saldo kartu yang tersedia, sementara jaminan terkait kemudian digunakan untuk penyelesaian (settlement).
Kemampuan yang dilaporkan untuk menambahkan administrator lain dan menghapus jaminan yang belum digunakan menimbulkan pertanyaan tentang bagaimana kontrol otorisasi Avici menegakkan model self-custody yang mereka klaim. Temuan teknis perlu membuat Avici atau perusahaan keamanan independen menjelaskan mengapa pengajuan tanda tangan penyerang diterima.
Dokumentasi Avici mengidentifikasi Rain sebagai mitra yang terlibat dalam layanan kartu mereka. Rain menyediakan infrastruktur pembayaran stablecoin dan bekerja dengan lembaga berlisensi untuk menerbitkan kartu yang terhubung ke Visa dan Mastercard. Analisis transaksi yang tersedia mengarah ke program-program Solana milik Avici, dan baik Avici maupun Rain belum mengatakan bahwa sistem Rain atau Visa mengalami kompromi.
Perbedaan ini penting bagi pengguna karena produk pembayaran self-custody seharusnya menjaga aset yang belum terpakai tetap berada di bawah kendali pemilik dompet. Tangem memperkenalkan model serupa pada November 2025, dengan pengeluaran USDC on-chain melalui kartu Visa virtual sementara pengguna tetap memegang kendali atas dana mereka.
Infrastruktur pembayaran juga menghadapi insiden terpisah terkait dompet. Pada bulan Juli, analis on-chain mengidentifikasi arus keluar yang mencurigakan melebihi $9,7 juta dari dompet yang terhubung dengan penyedia pembayaran stablecoin Triple-A di berbagai jaringan termasuk Solana, Ethereum, TRON, dan TON. Triple-A belum mengonfirmasi apakah aset pelanggan terlibat ketika laporan tersebut dipublikasikan.
AVICI turun 49% ke titik terendah sepanjang masa
AVICI turun 49,4% dalam 24 jam menjadi $0,2175 saat laporan tentang penarikan menyebar, menurut data CoinGecko yang dikutip pada saat itu. Penjualan besar-besaran tersebut menurunkan kapitalisasi pasar token menjadi sekitar $2,84 juta dan mendorong harganya ke titik terendah sepanjang masa.
Volume perdagangan mencapai sekitar $656.543 selama periode 24 jam yang sama. Sebagian besar perdagangan AVICI terjadi melalui automated market maker futarchy milik MetaDAO, sementara LBank, KCEX, dan MEXC menyumbang aktivitas lainnya yang dilaporkan.
CoinGecko mencatat rekor tertinggi AVICI sebesar $7,56, yang dicapai pada 26 Nov. 2025. Titik terendah pada hari insiden membuat token tersebut sekitar 97% di bawah puncak itu.
Avici Inc. adalah perusahaan AS yang mencantumkan alamat San Francisco di situs webnya, sementara kebijakan privasinya mengidentifikasikan perusahaan tersebut sebagai korporasi Delaware. Platform ini juga menyediakan ketentuan kartu terpisah untuk pelanggan AS, sehingga menciptakan paparan langsung bagi pengguna Amerika yang memenuhi syarat atas layanan dompet dan kartu amannya.
Perusahaan mengumpulkan $3,5 juta melalui penjualan token MetaDAO dengan batas (capped) pada Oktober 2025. Rekor penggalangan dana MetaDAO menunjukkan 7.352 kontributor berkomitmen sekitar $34,23 juta, tetapi Avici mengembalikan sekitar 89,8% dari USDC yang dijanjikan setelah menerapkan batas penjualan.
Penawaran menghargai AVICI pada $0,35 dan menilai proyek tersebut sekitar $4,52 juta berdasarkan fully diluted. Avici mengeluarkan 10 juta token melalui penjualan tersebut, yang mewakili sekitar 77,5% dari total pasokan 12,9 juta token miliknya.
Baca selengkapnya: Emas tokenisasi menjadi jaminan yang produktif dalam pinjaman kripto, kata Arch