Avici攻撃でソラナ利用者から1Mドル超が流出

ソラナベースの暗号資産カード・プラットフォーム「Avici」を狙った進行中の攻撃により、報じられているところでは、ユーザーの担保口座から100万ドル超が流出し、同時にAVICIトークンが史上最安値まで下落したという。
 概要
疑われる攻撃者は、ある時点で10,005 SOLと、ステーブルコイン約11,600ドルを保有していた。
オンチェーンの記録では、担保の引き出しの前に管理者を追加する呼び出しが繰り返し行われていたことが示された。
Aviciはカード残高の引き出しに問題があることを認めたが、報じられた損失については確認しなかった。
AVICIは24時間で49.4%下落し、過去最安値の0.2175ドルをつけた。
Avici攻撃者、出金の前に管理者を追加
報道によると、疑われる攻撃者は18:58（UTC）時点で1,080,000ドル相当の10,005.03 SOLを集めていたほか、約11,600ドルのUSDCとUSDTも保有していた。その分析は、攻撃がまだ進行中だった間に収集されたSolanaの取引ログとRPCデータに基づいていた。
ウォレットは、13:40（UTC）にdeBridge経由で初期資金を受け取った。その時点で別のネットワークから1.79 SOLが到着している。その後約3時間は活動がなかったが、住所は16:49:48（UTC）にAviciのプログラムに関する最初の呼び出しを行った。
発行元が確認した取引ログでは、影響を受けた口座で同じ3段階のプロセスが見られた。まずウォレットが呼び出したのは
署名を提出
SolanaのEd25519署名検証プログラムも使用した取引の中で、Aviciの認可プログラムを通じて
こちらもおすすめ：CCC、攻撃者がBSC流動性プールを標的にしてから$117Kを吸い上げるCCCエクスプロイト
次に、攻撃者は電話をかけた
管理者追加
Aviciの担保プログラムを通じて、ユーザーの口座に追加の管理者を登録した。最後にWithdrawCollateralAssetの呼び出しが行われ、担保は攻撃者が管理する口座へ移された。
確認された取引の1件では、出金命令がユーザーの担保口座から2,346.77 USDTを移動させていた。攻撃者は、回収したステーブルコインの一部をSOLに転換した。これには、209.76 SOLが返ってきたスワップも含まれていた。
発行元のチェックポイント時点で、ウォレットは14,672件の取引に署名しており、そのうち2,344件が失敗していた。保有SOLは約2,595トークン増加し、そののち約27.7万ドル相当の価値となったが、これは11分間の間に起きた。
匿名のオンチェーンアナリストSTACCも、影響を受けた送金のライブトラッカーを作成した。トラッカーから引用された数値によると、125の送信アカウントが特定されており、個々の送金額は約9 USDCから26,000 USDT超までの範囲だった。
Aviciも独立したセキュリティ会社も、攻撃者がどのように認可を得たのかを特定するポストモーテム記事を公開していない。取引の一連の流れは資金がどのように移動したかを示しているものの、今回の事件がプログラムの欠陥によるものなのか、資格情報の侵害によるものなのか、署名権限の露出によるものなのか、あるいは別の失敗によるものなのかは立証できない。
Aviciがカード出金の問題を確認
Aviciは、同社のプログラムに関する最初の報告取引の約1時間53分後に掲載されたX投稿で、このインシデントを認めた。
「カード残高の引き出しに影響する問題を把握しており、状況を注意深く監視しています。」
同社は、関連するパートナーと直接連携しており、追加情報が入り次第更新すると付け加えた。Aviciは、この事件を「エクスプロイト」とは呼んでおらず、いくらが持ち去られたのか、また何人の顧客が影響を受けたのかも明らかにしていない。
ほかにもいくつかの疑問が残っている。たとえば、活動が停止したのか、Aviciがプログラムを停止したのか、影響を受けたユーザーは補償を受けられるのか、などだ。同社は、署名鍵や管理者アカウントが侵害されたかどうかを開示していない。
Aviciが声明を出す前に、ユーザーからソーシャルメディア上で残高が欠けているとの報告があった。特に、あるユーザーは情報を待っている間に自分のAvici残高がすべて引き抜かれていたと述べた。
今回の事件は、Solanaネットワークそのものではなく、Aviciのカード担保および認可（オーソライゼーション）プログラムに関するものだ。Solanaの基盤となるブロックチェーンに脆弱性があることを特定した利用可能な報告はない。
報道によれば、両方のAviciプログラムはアップグレード可能で、同じアップグレード権限を共有していた。権限はマルチシグの口座ではなく、標準的なSolanaアカウントだったとされているが、アップグレード権限が出金を引き起こした、または可能にしたことを示す証拠は現時点ではない。
スマートコントラクトのコードに含まれる欠陥を超える攻撃が増えるにつれ、運用面の統制に注目が集まっている。7月、crypto.newsは、侵害された鍵、サイナー（署名者）、インフラが2026年第2四半期に約7億6400万ドル盗まれたうち88.3%を占めていたことを示すセキュリティ調査結果を報告した。同記事で引用されたHackenのレポートでは、追跡されたプロジェクトのうち、監査、アクティブなバグ報奨金、第三者モニタリングを組み合わせて実施していたのはわずか4%だったことが判明したとしている。
Aviciの攻撃は自己管理の主張に挑戦状を突きつける
Aviciは、自社の製品を「セキュアなVisaクレジットカードに接続された自己管理型ウォレット」と説明している。AppleのApp Storeの掲載情報では、ユーザーが管理下にあり、Aviciは自社で資金を保有しないと記載されている。
カードモデルでは、顧客は暗号資産を担保口座に入金し、それに対応するクレジット上限を受け取る。購入は利用可能なカード残高を減らし、一方で関連する担保は後に決済に使用される。
別の管理者を追加し、未使用の担保を削除できるとされる点は、Aviciの認可（オーソライゼーション）管理が、同社の掲げる自己管理型モデルをどのように担保しているのかという疑問を呼んでいる。技術的な調査結果では、攻撃者による署名提出がなぜ受理されたのかをAvici、または独立したセキュリティ会社が説明する必要がある。
Aviciのドキュメントでは、Rainがカードサービスに関与するパートナーとして特定されている。Rainはステーブルコイン決済インフラを提供しており、免許を受けた機関と協力して、VisaおよびMastercardに接続されたカードを発行する。利用可能な取引分析はAviciのSolanaプログラムを指しており、AviciもRainも、RainまたはVisaのシステムが侵害されたとは述べていない。
この違いは、ユーザーにとって重要だ。自己管理型の決済商品は、未使用の資産をウォレット所有者の管理下に保つはずだからだ。Tangemは2025年11月に同様のモデルを導入し、ユーザーが資金を保持したまま、バーチャルなVisaカードによるオンチェーンUSDCの支払いを可能にした。
決済インフラは、ウォレット関連の別のインシデントにも直面している。7月、オンチェーン分析者は、ステーブルコイン決済プロバイダーのTriple-Aに紐づくウォレットから、Solana、Ethereum、TRON、TONなどのネットワークをまたいで9.7百万ドル超の不審な流出があったことを特定した。Triple-Aは、同レポートが公表された時点で、顧客の資産が関与しているかどうかを確認していなかった。
AVICI、49%下落して史上最安値
CoinGeckoの当時の引用データによると、出金に関する報道が広がる中、AVICIは24時間で49.4%下落し0.2175ドルとなった。投げ売りによりトークンの時価総額は約284万ドルにまで低下し、価格は史上最安値を更新した。
取引高は、同じ24時間の間に約656,543ドルに達した。Most AVICIの取引はMetaDAOのフューチャリー（futarchy）自動マーケットメイカーを通じて行われ、一方でLBank、KCEX、MEXCは残りとして報告された取引を占めた。
CoinGeckoは、AVICIの過去最高値を7.56ドル（2025年11月26日に到達）として掲載している。事件当日の安値は、そのピークからおよそ97%低い水準にとどまった。
Avici Inc.はサンフランシスコの住所をウェブサイトに掲載している米国企業だが、プライバシーポリシーではデラウェアの法人だとされている。同プラットフォームはまた、米国顧客向けに別個のカード規約も提供しており、その結果、同社のウォレットおよびセキュアドカードサービスを利用可能な対象の米国ユーザーに対して直接的なエクスポージャーが生じている。
同社は2025年10月に上限付きのMetaDAOトークン販売で350万ドルを調達した。MetaDAOの資金調達記録によれば、7,352人の支援者が約3,423万ドルを拠出する意思を示したが、Aviciは販売上限を適用した後、約89.8%の拠出済みUSDCを返還した。
募集ではAVICIを0.35ドルで価格設定し、完全希薄化ベースでプロジェクトを約452万ドルと評価した。Aviciは販売を通じて1,000万トークンを発行し、同社の1,290万トークンの供給量の約77.5%に相当した。
続きを読む：トークン化された金が暗号資産の貸し付けにおける生産的な担保になりつつある、とArchが指摘