A Avici, um banco digital de criptomoedas, foi atingida por um exploit de contrato inteligente que causou cerca de US$ 1,1 milhão em perdas, e seu token nativo AVICI caiu da máxima em 24 horas de US$ 0,43 para uma mínima histórica de US$ 0,217 antes de se recuperar para cerca de US$ 0,378. De acordo com a Sina Finance, o incidente expôs riscos de segurança no fluxo de financiamento de cartões cripto de auto-custódia.
O atacante explorou uma vulnerabilidade em uma versão desatualizada do contrato Rain card, enviando repetidamente transações de autorização assinadas, adicionando-se como administrador de certas contas de garantia de cartão e retirando saldos. As stablecoins roubadas foram convertidas em tokens da blockchain Solana, movidas por uma ponte cross-chain para a rede Ethereum e, por fim, enviadas para a Tornado Cash.
Os dados on-chain mostraram que, dos aproximadamente US$ 1,1 milhão roubados, cerca de US$ 500.800 em perdas envolveram 1.685 usuários da Avici, enquanto mais de US$ 430.000 em perdas envolveram 636 usuários da Tria. A Tria disse que compensaria integralmente os usuários, e seu token chegou a cair mais de 10%.
A Avici disse que o ataque foi limitado ao contrato da Solana em que os fundos dos usuários ficam armazenados após os depósitos, e que suas carteiras de auto custódia na Solana e em redes compatíveis com Ethereum não foram afetadas. A empresa disse que reembolsaria integralmente os saldos dos cartões dos usuários afetados. A Rain disse que seu sistema de monitoramento identificou a vulnerabilidade, atualizou todos os programas em execução com aquela versão do contrato e não encontrou nenhuma atividade anormal adicional.
Os termos de serviço da Avici mostram que seus cartões são emitidos pela Third National, enquanto a Rain fornece a infraestrutura do cartão de stablecoin subjacente como um importante membro da Visa. As empresas não divulgaram quaisquer outros projetos afetados nem o valor total das perdas.
Avici disse que havia apresentado um relatório ao FBI Internet Crime Complaint Center, mas não anunciou um cronograma de compensação nem a fonte de financiamento.