-
Avici hücumçusu cəmi $190 ilə cüzdanı maliyyələşdirib və Avici istifadəçi kartı balanslarından $670 min çıxarıb.
-
Bu istismar hücumçuya 1,100-dən çox istifadəçi hesabına admin girişi imkanı verdi.
-
Avici təsirlənmiş balansları tam bərpa etdiyini və çıxarılan məbləğlərə 10% cashback əlavə etdiyini elan etdi.
Solana əsaslı Avici təhlükəsizlik boşluğu bir hücumçunun cəmi $190 qaz xərcləyib $670 min-dən çox vəsaiti boşaltmasından sonra 1 milyon dollardan çox istifadəçi vəsaitini ifşa edib. Bu zaman, Avici komandası təsirlənmiş istifadəçinin vəsaitini tam həcmdə geri qaytarıb və müqavilə problemi müəyyən edilib düzəldildikdən sonra 10% cashback əlavə edib.
Hücumçu $190 qaz xərci ilə necə $670 min çıxartdı?
On-chain məlumatlara görə, hücumçu əsasən tranzaksiya haqqını qarşılamaq üçün yeni cüzdana təxminən $190 USDC köçürüb. Təxminən üç saat passiv qaldıqdan sonra, cüzdan 16:49 UTC-də Avici-nin Solana kart müqavilələri ilə interaksiyaya başlayıb.
Daha sonra hücumçu fərdi istifadəçi balanslarını boşaltmağa başlayıb. Birinci böyük tranzaksiya paketi, yəni təxminən $576 min, 18:19 ilə 18:34 UTC arasında çıxarılıb.
Daha sonra edilən çıxarışlar nəticəsində ümumi boşaldılan məbləğ $670 min-i keçib və hücum 8,857 tranzaksiya boyunca davam edib.
Hücumçu istifadəçi hesablarına daxil olduqca, platformanın ümumi itkisi sonda 1 milyon dolları keçib.
Bir müqavilə boşluğu 1,100-dən çox hesabı ifşa etdi
Hücumçu Avici-nin əsas xəzinəsinə daxil olmayıb və ya upgrade açarını oğurlamayıb. Bunun əvəzinə, istismar fərdi kart-balans müqavilələrini hədəfləyib.
Məsələ Avici-nin kart buraxıcı tərəfdaşı Rain tərəfindən təmin edilən infrastrukturdakı köhnə imza və icazə yoxlaması ilə bağlı idi.
Hücumçu AddCollateralAdmin adlanan və admin girişi təmin edən xüsusi bir imzalar toplusu təqdim edib ki, bu da ona 1,100-dən çox istifadəçi təminat hesabı üzərində admin hüquqları verib.
Sonra hücumçu həmin hesabların hər birindən ayrı-ayrılıqda vəsait çıxara bilib. On-chain məlumatlarda orta çıxarış məbləği $24 olub, nümunədə ən böyük çıxarış isə $5,268 təşkil edib.
Avici istifadəçilərə 10% cashback ilə vəsait qaytardı
Komanda təsdiqləyib ki, təsirlənmiş balanslar tam şəkildə bərpa olunub və çıxarılan məbləğlərə əlavə olaraq 10% cashback verilib.
“Əgər Solana kart balansınız bir neçə saat əvvəl çıxarılıbsa, biz çıxarılan məbləği tam bərpa etdik və üzərinə 10% cashback əlavə etdik.”
Avici bildirib ki, istismar yalnız Top Up sistemi vasitəsilə əlavə olunan balanslara sahib olan Solana kart müqavilələrini əhatə edib. Standart Solana və EVM cüzdanları, eləcə də EVM kart balansları, onramps, offramps və exchange-lərə təsir etməyib.
Avici eyni zamanda bildirir ki, yenilənmiş müqavilələr daimi izlənilir və istifadəçilərdən balanslarını yoxlamaları xahiş olunur.
