-
Penyerang Avici mendanai wallet hanya dengan $190 dan menguras $670.000 dari saldo kartu pengguna Avici.
-
Eksploitasi ini memberi penyerang akses admin ke lebih dari 1.100 akun pengguna.
-
Avici mengumumkan bahwa saldo yang terdampak telah sepenuhnya dipulihkan dan menambahkan cashback 10% pada jumlah yang ditarik.
Eksploitasi keamanan Avici berbasis Solana telah mengungkap lebih dari $1 juta dana pengguna, setelah seorang penyerang dilaporkan hanya menghabiskan $190 untuk gas sebelum menguras lebih dari $670.000. Sementara itu, tim Avici telah mengembalikan dana pengguna yang terdampak sepenuhnya dan menambahkan cashback 10% setelah mengidentifikasi dan memperbaiki masalah kontrak tersebut.
Bagaimana Penyerang Menggunakan $190 untuk Gas dan Menguras $670.000
Menurut data on-chain, penyerang mendanai wallet baru dengan sekitar $190 dalam USDC, terutama untuk menutupi biaya transaksi. Setelah tidak aktif selama sekitar tiga jam, wallet tersebut mulai berinteraksi dengan kontrak kartu Solana milik Avici pada pukul 16:49 UTC.
Penyerang kemudian mulai menguras saldo individu pengguna. Batch besar pertama sekitar $576.000 dipindahkan antara pukul 18:19 dan 18:34 UTC.
Penarikan lebih lanjut mendorong total dana yang dikuras melebihi $670.000, sementara serangan berlanjut dalam 8.857 transaksi.
Seiring penyerang terus mengakses akun pengguna, total kerugian platform akhirnya melebihi $1 juta.
Satu Celah Kontrak Mengungkap 1.100+ Akun
Penyerang tidak membobol kas utama Avici atau mencuri upgrade key. Namun, eksploitasi ini menargetkan kontrak saldo kartu individu.
Masalahnya melibatkan pemeriksaan tanda tangan dan izin yang sudah usang dalam infrastruktur yang disediakan oleh Rain, mitra penerbit kartu Avici.
Penyerang mengirimkan bundel tanda tangan yang dibuat khusus, disebut AddCollateralAdmin, yang secara salah memberi mereka akses admin ke lebih dari 1.100 akun jaminan pengguna.
Penyerang kemudian dapat menarik dana dari akun-akun tersebut satu per satu. Data on-chain menunjukkan penarikan median sebesar $24, sementara penarikan terbesar dalam sampel adalah $5.268.
Avici Kembalikan Dana Pengguna dengan Cashback 10%
Tim juga mengonfirmasi bahwa saldo terdampak telah dipulihkan sepenuhnya, dengan tambahan cashback 10% dari jumlah yang ditarik.
“Jika saldo kartu Solana Anda ditarik beberapa jam yang lalu, kami telah mengembalikan seluruh jumlah dan menambahkan cashback 10% dari nominal yang ditarik.”
Avici mengatakan eksploitasi hanya terbatas pada kontrak kartu Solana yang memegang saldo yang ditambahkan melalui sistem Top Up. Wallet Solana dan EVM reguler, serta saldo kartu EVM, onramp, offramp, dan swap, tidak terpengaruh.
Sementara itu, Avici menyebutkan bahwa mereka terus memantau kontrak yang telah diperbarui sambil meminta pengguna untuk memeriksa saldo mereka yang telah dipulihkan.
