-
Pinondohan ng Avici attacker ang wallet ng $190 lang at nadrenahan ng $670K mula sa mga card balances ng user ng Avici.
-
Ang exploit ay nagbigay sa attacker ng admin access sa mahigit 1,100 user accounts.
-
Inanunsiyo ng Avici na ibinalik nila nang buo ang mga apektadong balanse at nagdagdag ng 10% cashback sa mga na-withdraw na halaga.
Isang Solana-based na security exploit ng Avici ang naglantad ng mahigit $1 million sa pondo ng mga user, matapos umanong gumastos ang attacker ng $190 lang sa gas bago i-drain ang higit sa $670,000. Samantala, ibinalik na ng Avici team nang buo ang naluging user at nagdagdag ng 10% cashback matapos matukoy at ayusin ang issue sa kontrata.
Paano Gumastos ng $190 sa Gas ang Attacker Para I-drain ang $670K
Ayon sa on-chain data, pinondohan ng attacker ang isang bagong wallet ng nasa $190 sa USDC, pangunahin para sa mga bayarin sa transaksyon. Pagkatapos hindi gumalaw ng halos tatlong oras, sinimulan ng wallet makipag-interact sa mga Solana card contract ng Avici bandang 16:49 UTC.
Pagkatapos, inumpisahan ng attacker ang pag-drain ng mga balik-balik ng user balance. Ang unang malaking batch na umabot sa humigit-kumulang $576,000 ay nailipat mula 18:19 hanggang 18:34 UTC.
Ang karagdagang withdrawals ay nagtulak sa kabuuang amount na na-drain sa mahigit $670,000, habang nagpatuloy ang attack sa 8,857 transaksyon.
Habang patuloy na nagkakaroon ng access ang attacker sa mga user account, umabot sa higit $1 million ang kabuuang nalugi sa platform.
Isang Kontratang Sira Naglantad sa 1,100+ Accounts
Hindi pinasok ng attacker ang pangunahing treasury ng Avici o ninakaw ang upgrade key. Sa halip, tinarget ng exploit ang mga kontrata ng indibidwal na card-balance.
Ang problema ay may kinalaman sa lumang signature at permission check sa infrastructure na ibinigay ng Rain, ang card-issuing partner ng Avici.
Nag-submit ang attacker ng isang espesyal na ginawang signature bundle, na tinawag na AddCollateralAdmin, na maling nagbigay sa kanila ng admin access sa mahigit 1,100 user collateral accounts.
Maaari na ring mag-withdraw ng attacker ng pondo mula sa mga account na iyon isa-isa. Ipinakita ng on-chain data na ang median withdrawal ay $24, habang ang pinakamalaking withdrawal sa sample ay $5,268.
Avici Nagbigay ng Refund sa Users Kasama ang 10% Cashback
Kinumpirma rin ng team na ang mga apektadong balanse ay naibalik nang buo, may dagdag na 10% cashback sa halagang na-withdraw.
“Kung ang iyong Solana card balance ay na-withdraw ilang oras na ang nakalipas, ibinalik na namin ang buong halaga at nagdagdag kami ng 10% cashback sa na-withdraw.”
Sinabi ng Avici na ang exploit ay limitado lang sa mga Solana card contract na may balanse mula sa Top Up system nito. Ang regular na Solana at EVM wallets, pati na ang EVM card balances, onramps, offramps at swaps, ay hindi naapektuhan.
Samantala, ayon sa Avici, patuloy nilang mino-monitor ang mga na-update na kontrata habang hinihikayat ang mga user na tingnan ang kanilang naibalik na balanse.
