SolanaのネオバンクAviciがハッキングされ、65万ドルの被害。トークンは40%急落

攻撃者は、SolanaネオバンクであるAviciのカード担保ボールトから65万3,000ドル以上を引き出しました。Aviciの公式ドキュメントでは、「ユーザーのウォレットだけがこの資金を移動できる」と明言されていました。トークンのAvici（AVICI）はこの事件後、約40％下落し0.24ドルとなっています。奪われた金額はAVICI全体の時価総額のおよそ5分の1に相当します。

AVICI価格パフォーマンス
出典: Coingecko

Aviciエクスプロイトの問題点

AviciはUSDCを担保としたVisaクレジットカードを販売しています。ユーザーはステーブルコインをスマートコントラクトにロックし、その残高から支出が差し引かれます。カードの発行はAviciではなく、Third Nationalが行っています。ドキュメントでは「ユーザーのウォレットだけが、支出分を差し引いたエスクローコントラクトから資金を引き出せる」と明記されており、誰が鍵を持っているかが示されています。

しかし、金曜日にはボールトが空になり、この記事執筆時点でライブトラッカーによると653,548ドルが引き出されました。

Avici Attack
出典: Live Tracker

セルフカストディは「誰が引き出せないか」を明確にしましたが、プログラム自体に書かれたすべての特権的な経路を排除してはいませんでした。その隙間を突かれて資金が抜かれたのです。

オンチェーンリサーチャーによると、攻撃者は細工した署名バンドルを送り、エスクローアカウントの管理者権限を自らに与えた上で引き出しを実行したとのことです。Aviciはこの手法を公式には認めていません。

これは財務金庫のハッキングではない理由

それぞれの顧客は個別のエスクロー契約を保持していました。そのため、資金はアカウントごとに残され、1つの巨大なプールが抜き取られたわけではありません。

このパターンは過去にも類似例があり、Solanaのガバナンス攻撃で1回の操作でBONK DAOの財務金庫から2,000万ドルが流出した事例が挙げられます。

関連するトークンは、このような事件から容易に立ち直ることは少なく、AVICIトークンが約40％下落した理由でもあります。同様に、ブリッジ脆弱性によってMidnightトークンも7月に史上最安値を記録しました。

Midnight（NIGHT）トークン価格パフォーマンス
出典: BeInCrypto Markets

Aviciは「カード残高の引き出しに影響する問題を把握している」とだけ発表しており、詳細な原因究明（ポストモーテム）は行われていません。

カード残高の引き出しに影響する問題を認識しており、状況を綿密に監視しています。関係するすべてのパートナーと直接協力し、解決に向けて取り組んでおり、詳細が分かり次第、速やかに情報を共有します。

同社は残りのボールトがまだコール可能か、Third Nationalとのカード決済に影響があるのかについては言及していません。