-
Atakujący Avici zasilił portfel zaledwie kwotą 190 dolarów i opróżnił 670 000 dolarów z sald kart użytkowników Avici.
-
Wykorzystanie luki zapewniło atakującemu dostęp administratora do ponad 1 100 kont użytkowników.
-
Avici ogłasza, że całkowicie przywróciło utracone saldo i dodało 10% cashbacku do wypłaconych kwot.
Atak na zabezpieczenia Avici oparty na Solanie ujawnił ponad 1 milion dolarów środków użytkowników, po tym jak atakujący wydał tylko 190 dolarów na opłaty transakcyjne i opróżnił ponad 670 000 dolarów. Tymczasem zespół Avici całkowicie zwrócił poszkodowanemu użytkownikowi środki i dodał 10% cashbacku po zidentyfikowaniu i naprawieniu problemu z kontraktem.
Jak atakujący wykorzystał 190 dolarów na gaz, by opróżnić 670 000 dolarów
Według danych on-chain, atakujący zasilił nowy portfel kwotą około 190 dolarów w USDC, głównie na pokrycie opłat transakcyjnych. Po około trzech godzinach nieaktywności, portfel rozpoczął interakcję z kontraktami kart Avici opartymi na Solanie o 16:49 UTC.
Atakujący następnie zaczął opróżniać salda indywidualnych użytkowników. Pierwsza większa transza, około 576 000 dolarów, została przeniesiona między 18:19 a 18:34 UTC.
Dalsze wypłaty podniosły sumę wyprowadzonych środków powyżej 670 000 dolarów, a atak trwał przez 8 857 transakcji.
W miarę jak atakujący uzyskiwał dostęp do kolejnych kont użytkowników, całkowite straty na platformie przekroczyły w końcu 1 milion dolarów.
Jedna luka w kontrakcie naraziła ponad 1 100 kont
Atakujący nie włamał się do głównego skarbca Avici ani nie ukradł klucza aktualizacyjnego. Zamiast tego wykorzystał on kontrakty kartowe związane z saldem użytkownika.
Problem dotyczył przestarzałej weryfikacji podpisu i uprawnień w infrastrukturze dostarczonej przez Rain, partnera Avici w zakresie wydawania kart.
Atakujący przesłał specjalnie utworzony pakiet podpisów o nazwie AddCollateralAdmin, który błędnie dał mu dostęp administratora do ponad 1 100 kont zabezpieczeń użytkowników.
Następnie atakujący mógł wypłacać środki z tych kont, po jednym. Dane on-chain wskazują na medianę wypłaty w wysokości 24 dolarów, podczas gdy największa wypłata w próbce wyniosła 5 268 dolarów.
Avici zwraca użytkownikom środki z 10% cashbacku
Zespół potwierdził także, że wszystkie dotknięte salda zostały w pełni przywrócone, z dodatkowym 10% cashbackiem od wypłaconej kwoty.
„Jeżeli saldo Twojej karty Solana zostało wypłacone kilka godzin temu, przywróciliśmy pełną kwotę i dodaliśmy 10% cashbacku od tego, co zostało wypłacone.”
Avici poinformowało, że problem dotyczył jedynie kontraktów kart Solana zawierających środki doładowane przez system Top Up. Zwykłe portfele Solana i EVM, a także salda kart EVM, onramps, offramps i swapy nie zostały naruszone.
Avici podaje, że nadal monitoruje zaktualizowane kontrakty i zachęca użytkowników do sprawdzania przywróconych sald.
