-
Зловмисник Avici поповнив гаманець лише на $190 та зняв $670 тис. із балансів карток користувачів Avici.
-
Експлойт надав зловмиснику адміністративний доступ до понад 1 100 користувацьких акаунтів.
-
Avici оголосила, що повністю відновила постраждалі баланси й додала 10% кешбеку до суми, що була знята.
Експлойт у системі Avici на базі Solana піддав ризику понад $1 млн користувацьких коштів після того, як зловмисник витратив лише $190 на комісії та зняв понад $670 тис. Тим часом команда Avici вже повністю повернула постраждалому користувачу кошти та надала 10% кешбеку після виявлення та вирішення проблеми з контрактом.
Як зловмисник витратив $190 на газ та зняв $670 тис.
За даними ончейн-аналізу, зловмисник поповнив новий гаманець приблизно на $190 у USDC головним чином для покриття транзакційних комісій. Після трьох годин бездіяльності гаманець почав взаємодіяти з Solana card контрактами Avici о 16:49 UTC.
Далі зловмисник почав знімати індивідуальні баланси користувачів. Перша велика партія приблизно $576 000 була переведена між 18:19 та 18:34 UTC.
Подальші зняття підвищили загальну суму понад $670 000, а атака тривала протягом 8 857 транзакцій.
Оскільки зловмисник продовжував отримувати доступ до користувацьких акаунтів, загальні збитки платформи зрештою перевищили $1 млн.
Одна вада контракту відкрила доступ до 1 100+ акаунтів
Зловмисник не зламав основний казначейський гаманець Avici і не викрав ключ для оновлення. Натомість експлойт був націлений на індивідуальні контракти балансу карт.
Проблема виникла через застарілу перевірку підпису та дозволів у інфраструктурі, яку надає партнер Avici з випуску карт Rain.
Зловмисник подав спеціально створений пакет підписів під назвою AddCollateralAdmin, який помилково надав йому адміністративний доступ до понад 1 100 рахунків застави користувачів.
Після цього зловмисник міг знімати кошти з цих акаунтів по одному. Ончейн-дані показали, що медіане зняття становило $24, а найбільше зняття у вибірці дорівнювало $5 268.
Avici повертає кошти користувачам з 10% кешбеком
Команда також підтвердила, що постраждалі баланси були повністю відновлені з додатковими 10% кешбеку до знятої суми.
“Якщо баланс вашої Solana картки було знято кілька годин тому, ми повністю відновили суму та додали 10% кешбеку до знятих коштів.”
Avici зазначає, що експлойт обмежувався лише Solana card контрактами, які тримали баланси, додані через її систему Top Up. Звичайні Solana та EVM гаманці, а також EVM баланси карт, onramps, offramps та свопи не постраждали.
Наразі Avici продовжує моніторити оновлені контракти, а користувачів просять перевірити свої відновлені баланси.
