Theo báo cáo, một cuộc tấn công đang diễn ra nhắm vào nền tảng thẻ tiền mã hóa dựa trên Solana của Avici đã rút hơn 1 triệu USD từ các tài khoản ký quỹ của người dùng, đồng thời chuyển token AVICI của mình xuống mức thấp kỷ lục.

Tóm tắt

• Tại một thời điểm, kẻ bị nghi ngờ tấn công đã nắm giữ 10.005 SOL và khoảng 11.600 USD dưới dạng stablecoin.

• Dữ liệu on-chain cho thấy các lệnh được gọi lặp lại nhằm thêm một quản trị viên trước khi thực hiện việc rút ký quỹ.

• Avici thừa nhận có vấn đề liên quan đến việc rút số dư thẻ nhưng không xác nhận khoản lỗ được cho là đã xảy ra theo báo cáo.

• AVICI giảm 49,4% trong 24 giờ và chạm mức thấp kỷ lục 0,2175 USD.

Kẻ tấn công của Avici thêm quản trị viên trước khi rút tiền

Theo các báo cáo, nghi phạm đã thu thập 10.005,03 SOL, trị giá khoảng 1,07 triệu USD tại 18:58 UTC, cùng với khoảng 11.600 USD USDC và USDT. Phân tích của họ dựa trên nhật ký giao dịch Solana và dữ liệu RPC được thu thập trong khi cuộc tấn công vẫn đang diễn ra.

Ví nhận nguồn tài trợ ban đầu thông qua deBridge lúc 13:40 UTC, khi 1,79 SOL được chuyển đến từ một mạng khác. Sau khi duy trì trạng thái không hoạt động khoảng ba giờ, địa chỉ này đã thực hiện cuộc gọi đầu tiên liên quan đến các chương trình của Avici vào 16:49:48 UTC.

Nhật ký giao dịch do tờ báo xem xét cho thấy cùng một quy trình gồm ba bước trên các tài khoản bị ảnh hưởng. Đầu tiên, ví đã gọi

SubmitSignatures

thông qua chương trình ủy quyền của Avici trong một giao dịch đồng thời cũng sử dụng chương trình xác minh chữ ký Ed25519 của Solana.

Bạn cũng có thể thích: CCC exploit rút sạch 117K USD sau khi kẻ tấn công nhắm vào bể thanh khoản BSC

Tiếp theo, kẻ tấn công đã gọi

AddCollateralAdmin

trong chương trình tài sản thế chấp của Avici, đăng ký thêm một quản trị viên cho tài khoản của người dùng. Sau đó, lệnh WithdrawCollateralAsset cuối cùng đã chuyển tài sản thế chấp sang một tài khoản do kẻ tấn công kiểm soát.

Trong một giao dịch được xem xét, lệnh rút tiền đã chuyển 2.346,77 USDT từ tài khoản tài sản thế chấp của người dùng. Kẻ tấn công cũng chuyển đổi một phần các stablecoin thu được sang SOL, bao gồm một lần hoán đổi đã trả về 209,76 SOL.

Tại mốc kiểm tra của tờ báo, ví đã ký 14.672 giao dịch, trong đó 2.344 giao dịch bị thất bại. Số nắm giữ SOL của ví tăng thêm khoảng 2.595 token, rồi trị giá khoảng 277.000 USD, trong khoảng thời gian 11 phút.

Nhà phân tích on-chain ẩn danh STACC cũng tạo một bộ theo dõi trực tiếp cho các lần chuyển bị ảnh hưởng. Theo các con số được trích dẫn từ bộ theo dõi, đã xác định được 125 tài khoản gửi, với mỗi lần chuyển dao động từ khoảng 9 USDC đến hơn 26.000 USDT.

Cả Avici lẫn một công ty an ninh độc lập chưa công bố bài phân tích hậu sự cố (post-mortem) xác định cách kẻ tấn công có được quyền ủy quyền. Mặc dù chuỗi giao dịch cho thấy dòng tiền đã di chuyển ra sao, nhưng nó không chứng minh liệu sự cố là do lỗi của chương trình, do thông tin đăng nhập bị xâm phạm, do lộ quyền ký, hay do một sự cố khác.

Avici xác nhận sự cố rút tiền từ thẻ

Avici đã thừa nhận sự cố trong một bài đăng X được đăng khoảng một giờ 53 phút sau giao dịch đầu tiên được báo cáo liên quan đến các chương trình của công ty.

“Chúng tôi nhận thức được vấn đề ảnh hưởng đến việc rút số dư thẻ và đang theo dõi sát tình hình.”

Công ty cho biết họ đang làm việc trực tiếp với các đối tác liên quan và sẽ cập nhật thêm khi có thêm thông tin. Avici không gọi sự cố là một vụ khai thác (exploit), không xác nhận số tiền đã bị lấy đi bao nhiêu hoặc nêu có bao nhiêu khách hàng bị ảnh hưởng.

Vẫn còn một số câu hỏi khác chưa được trả lời, bao gồm liệu hoạt động đã dừng chưa, Avici có tạm dừng các chương trình hay không, và liệu những người dùng bị ảnh hưởng có được bồi thường hay không. Công ty chưa tiết lộ liệu bất kỳ khóa ký hay tài khoản quản trị nào đã bị xâm phạm.

Người dùng đã phản ánh việc mất số dư trên mạng xã hội trước khi Avici đưa ra tuyên bố. Một người dùng đáng chú ý cho biết toàn bộ số dư Avici của họ đã bị rút cạn trong khi họ chờ thông tin từ dự án.

Sự cố liên quan đến chương trình tài sản thế chấp thẻ và chương trình ủy quyền của Avici, chứ không phải mạng Solana bản thân. Chưa có báo cáo nào sẵn có xác định lỗ hổng trong blockchain nền tảng của Solana.

Cả hai chương trình của Avici đều có thể nâng cấp và dùng chung cùng quyền nâng cấp, theo các báo cáo. Quyền này được cho là một tài khoản Solana tiêu chuẩn thay vì tài khoản đa chữ ký (multisignature), dù chưa có bằng chứng nào cho thấy quyền nâng cấp đã gây ra hoặc cho phép các khoản rút tiền.

Các biện pháp kiểm soát vận hành cũng được chú ý hơn khi các cuộc tấn công vượt ra ngoài các lỗ hổng được chứa trong mã của hợp đồng thông minh. Vào tháng 7, crypto.news đưa tin về các phát hiện an ninh cho thấy các khóa, người ký và hạ tầng bị xâm phạm chiếm 88,3% trong tổng số khoảng 764 triệu USD bị đánh cắp trong quý II năm 2026. Báo cáo Hacken được trích dẫn trong bài viết cho thấy chỉ 4% số dự án được theo dõi kết hợp giữa kiểm toán, chương trình săn lỗi (bug bounty) hoạt động và giám sát bên thứ ba.

Cuộc tấn công vào Avici thách thức các tuyên bố về tự quản

Avici mô tả sản phẩm của mình là một ví tự quản được kết nối với thẻ tín dụng Visa được bảo mật. Trang danh sách trên Apple App Store cho biết người dùng vẫn nắm quyền kiểm soát và Avici không bao giờ nắm giữ số tiền của họ.

Theo mô hình thẻ, khách hàng gửi crypto vào các tài khoản tài sản thế chấp và nhận hạn mức tín dụng tương ứng. Việc mua hàng sẽ làm giảm số dư thẻ khả dụng, trong khi tài sản thế chấp liên quan sau đó được dùng để thanh toán tất toán.

Khả năng được cho là có thể thêm một quản trị viên khác và loại bỏ tài sản thế chấp chưa sử dụng cũng đặt ra câu hỏi về cách các cơ chế ủy quyền của Avici thực thi mô hình tự quản (self-custody) mà công ty công bố. Một phát hiện kỹ thuật sẽ cần Avici hoặc một công ty an ninh độc lập giải thích vì sao các lần nộp chữ ký của kẻ tấn công lại được chấp nhận.

Tài liệu của Avici xác định Rain là một đối tác tham gia vào dịch vụ thẻ của công ty. Rain cung cấp hạ tầng thanh toán bằng stablecoin và hợp tác với các tổ chức được cấp phép để phát hành thẻ liên kết với Visa và Mastercard. Phân tích giao dịch hiện có chỉ ra các chương trình Solana của Avici, và cả Avici lẫn Rain chưa nói rằng hệ thống của Rain hoặc Visa đã bị xâm phạm.

Sự khác biệt này rất quan trọng đối với người dùng, vì một sản phẩm thanh toán tự quản (self-custodial) được cho là nhằm giữ các tài sản chưa sử dụng nằm dưới sự kiểm soát của chủ sở hữu ví. Tangem đã giới thiệu một mô hình tương tự vào tháng 11/2025, với chi tiêu USDC trên chuỗi thông qua thẻ Visa ảo trong khi người dùng vẫn giữ quyền quản lý số tiền của mình.

Hạ tầng thanh toán cũng đã đối mặt với các sự cố khác liên quan đến ví. Vào tháng 7, các nhà phân tích on-chain xác định các luồng rút đáng ngờ vượt quá 9,7 triệu USD từ các ví liên kết với nhà cung cấp thanh toán stablecoin Triple-A trên nhiều mạng bao gồm Solana, Ethereum, TRON và TON. Triple-A chưa xác nhận liệu tài sản của khách hàng có liên quan hay không tại thời điểm bài báo được đăng.

AVICI giảm 49% xuống mức thấp nhất mọi thời đại

Theo dữ liệu CoinGecko được trích dẫn vào thời điểm đó, AVICI giảm 49,4% trong 24 giờ xuống còn 0,2175 USD khi các báo cáo về việc rút tiền lan truyền. Đợt bán tháo đã kéo vốn hóa thị trường của token xuống khoảng 2,84 triệu USD và đẩy giá lên mức thấp kỷ lục.

Khối lượng giao dịch đạt khoảng 656.543 USD trong cùng khoảng thời gian 24 giờ đó. Hầu hết giao dịch AVICI diễn ra thông qua nhà tạo lập thị trường tự động futarchy của MetaDAO, trong khi LBank, KCEX và MEXC chiếm phần hoạt động được báo cáo còn lại.

CoinGecko liệt kê mức cao kỷ lục của AVICI ở 7,56 USD, đạt được vào ngày 26/11/2025. Mức thấp trong ngày xảy ra sự cố khiến token giảm khoảng 97% so với đỉnh đó.

Avici Inc. là một công ty của Mỹ, hiển thị địa chỉ ở San Francisco trên trang web của mình, trong khi chính sách bảo mật lại xác định công ty là một tập đoàn (corporation) ở Delaware. Nền tảng này cũng cung cấp các điều khoản thẻ riêng cho khách hàng tại Mỹ, tạo ra sự tiếp xúc trực tiếp đối với người dùng Mỹ đủ điều kiện đối với ví và dịch vụ thẻ được bảo đảm của công ty.

Công ty đã huy động 3,5 triệu USD thông qua đợt bán token MetaDAO có giới hạn (capped) vào tháng 10/2025. Hồ sơ kỷ lục gây quỹ của MetaDAO cho thấy 7.352 người đóng góp đã cam kết khoảng 34,23 triệu USD, nhưng Avici đã hoàn trả khoảng 89,8% lượng USDC đã cam kết sau khi áp dụng trần của đợt bán.

Đợt chào bán định giá AVICI ở mức 0,35 USD và định giá dự án khoảng 4,52 triệu USD trên cơ sở pha loãng hoàn toàn. Avici đã phát hành 10 triệu token thông qua đợt bán, tương đương khoảng 77,5% trong tổng cung 12,9 triệu token của công ty.

Đọc thêm: Vàng được token hóa đang trở thành tài sản thế chấp sinh lãi trong cho vay crypto, Arch nói