Самое ироничное в этой новости — то, что злоумышленник даже не использовал каких-то продвинутых технологий. Три шага — три шага, и вот уже право распоряжаться залоговым обеспечением у «банка» переходит к нему.

28 августа на основе Solana «онлайн-банк» Avici, который называют «цепным новым банком», подтвердил, что его взломали. Первичные подсчёты потерь — от 600 тысяч до 1,02 миллиона долларов, пострадали 125 пользовательских аккаунтов. Его нативный токен AVICI за сутки упал примерно на 39%, а текущая цена от исторического пика уже отстала на 96%. Но за этими цифрами ключевой вопрос звучит иначе: проект, который управляет балансами чужих карт, как вообще мог так просто «добавить администратора»?

Три шага — и внешний пользователь превращается в администратора

Как только выложили атакующий путь, он выглядит как отчет-пример о найденной уязвимости, а не как реальный ограбляющий набег.

Шаг первый: хакер запускает функцию SubmitSignatures в процедуре авторизации Avici. Шаг второй: в модуле залога вызывает AddCollateralAdmin. Шаг третий: с полученной ролью администратора через WithdrawCollateralAsset выводит активы и забирает их себе.

Переводим на понятный язык: сначала получают подпись-авторизацию, затем добавляют себе роль администратора, и уже этой ролью снимают залог. Никакого арбитража, никаких флэш-кредитов, никакого манипулирования оракулом. Это просто «щель» в настройках прав доступа: заходят через парадную дверь, открывают сейф — и выносят оттуда то, что им нужно.

На тот момент у атакующего в кошельке было примерно 10 005 SOL (около 1 070 000 долларов), плюс стейблкоины на 11 600 долларов. Ончейн-аналитик сделал трекинг и выяснил: среди пострадавших 125 аккаунтов больше всего потеряли — до 26 000 USDT, меньше всего — всего 9 USDC. Что это доказывает? Что это не была точечная операция против «китов», а без разбора зачистка всех, кто держал деньги здесь. Балансы «розницы» — и исчезли в один момент.

Куда делись деньги? Почти не спасти

Мониторинг Onchain Lens также собирает картину того, куда ушли средства: 10 000 SOL перевели, конвертировали примерно в 1 020 000 USDC, перебросили через мост, затем обменяли примерно на 418 ETH — и в итоге оставили на Ethereum.

Увидев этот путь, жертве почти наверняка можно поставить точку: атакующий не оставил средства на Solana, а на скорости света перекинул их на другую цепочку. Сам кросс-чейн — это действие, которое вдвое усложняет возврат. Как только деньги превратились в ETH и растворились в потоке в сети Ethereum, вернуть их снова — все равно что искать иголку в стоге сена.

Рынок честнее всех: он уже давно не верит

Реакция цены AVICI ближе к правде, чем любые заявления. За 24 часа — падение на 39%, текущая цена — 0,2175 доллара. А 26 ноября 2025 года она доходила до 7,61 доллара. Что означает 96% просадка? Что до хакерской атаки этот проект рынок уже почти списал со счетов. Атака лишь пробила последнюю бумажную прослойку.

Самое тревожное — позиция официальных лиц. Avici в X подтвердил «проблему с выводом средств с карточных балансов», но не назвал сумму потерь и не сказал, будут ли компенсировать. Для людей за 125 аккаунтами потеря уже стала фактом; по-настоящему не дает людям уснуть другой вопрос: эти деньги вообще вернут или нет?

Настоящий кризис доверия прячется в словах «новый банк»

Нарратив про «новый ончейн-банк» на Solana — одна из самых заметных линий в этой волне рынка. Используешь криптоактивы в качестве опоры, даешь «карточные балансы» для трат — звучит так, будто банк перенесли в ончейн. Но Avici одной учебниковой уязвимостью по правам доступа напомнил всем: то, что в названии есть два слова «банк», не означает, что есть «нижняя граница» банковского стандарта.

За традиционными банками стоят страховка вкладов, система контроля рисков и регуляторное прикрытие — при проблемах есть структура, которая подхватит. А «новые ончейн-банки»? Их активы — это несколько записей залога в цепочке, а права — это функции нескольких смарт-контрактов. Как только в настройках функций находится лазейка, дальше уже ничего не остается. Нет страховки, нет пути назад, нет опции «деньги не вернутся, но государство компенсирует». Каждый вложенный вами цент привязан к строгости работы контракта. И Avici как раз доказывает одну вещь: строгость его контракта — примерно равна нулю.

Это не единичный случай — на этой неделе слишком плотно

Если смотреть только на Avici, может показаться, что это случайность. Но если вынести всю эту неделю целиком, видно, что плотность и направление атак изменились.

Уязвимость моста The Sandbox — потери около 697 000 долларов, к счастью, команда проекта заявила, что компенсируют 1:1. MANTRA украли примерно на 3,6 млн, и планов по возврату не озвучили. Кредитный протокол Moonwell подвергся атаке с ценовым манипулированием всего несколько дней назад — потери около 9 млн. Затем идет Avici: 1,02 млн и 125 аккаунтов.

Общее у всех этих событий одно: целью атаки становятся уже не просто чей-то «общий сейф» протокола, а сервисы, которые хранят реальные средства пользователей — мосты, кредитные протоколы, ончейн-банки. Пострадавшие превращаются из «денежных средств организации» в «текущие вклады розницы». Социальный резонанс от этого гораздо больше, чем сами суммы.

Так что же эта новость на самом деле должна заставить запомнить?

Не «снова потеряли миллион». В криптоиндустрии потеря 1 миллиона — это происходит каждую неделю. Важно запомнить другое: когда проект называет себя «банком», но даже администраторские права удержать не может, он опаснее обычного DeFi-протокола. Потому что у пользователей к слову «банк» есть врожденное доверие — оно расслабляет многих, и они кладут туда активы, которые нельзя класть.

Для обычного пользователя это довольно практичное напоминание: прежде чем класть деньги в любой «ончейн-банк», сначала спросите, есть ли у него страховка на депозиты, есть ли система риск-менеджмента, есть ли регуляторное страхование «на случай». Если ответы на все — «нет», то это максимум копилка с надписью «банк». Копилка сломалась — никто не возместит вам убытки.

Сможет ли Avici, как The Sandbox, по-человечески пообещать и компенсировать убытки, или же, как MANTRA, отделается туманными формулировками — станет для нее последней чертой. Но куда более серьезная проблема останется для всего сектора: когда «онлайн-банки» в ончейне соревнуются за право перехватить у пользователей баланс на карте, тот, кто первым построит по-настоящему доверяемую систему безопасности и компенсаций, и достоин дальше носить имя «банк». До тех пор «онлайн-банки» — это всего лишь четыре слова, как бы красиво они ни звучали.

Предупреждение о рисках: эта статья — только подборка информации и разбор инцидентов безопасности и не является инвестиционной рекомендацией. Безопасность Avici по-прежнему расследуется; суммы потерь, число пострадавших аккаунтов и схема компенсации пока окончательно не подтверждены. AVICI — высоковолатильный токен, и цена уже сильно снизилась относительно исторических максимумов. Другие упомянутые в тексте инциденты безопасности — это раскрытая информация; фактические потери и прогресс возврата нужно сверять с официальными объявлениями. Не принимайте на основании этого никаких инвестиционных решений; учитывайте риски.