-
Взломщик Avici пополнил кошелек всего на $190 и вывел $670 000 с балансов карт пользователей Avici.
-
Эксплойт предоставил злоумышленнику админ-доступ к более чем 1 100 учетным записям пользователей.
-
Avici объявила, что полностью восстановила пострадавшие балансы и добавила 10% кэшбэка к суммам вывода.
Эксплойт безопасности Avici на базе Solana привел к утечке средств пользователей на сумму свыше $1 миллиона после того, как злоумышленник потратил всего $190 на gas и снял более $670 000. Тем временем команда Avici полностью возместила пострадавшему пользователю баланс и начислила 10% кэшбэка после выявления и устранения проблемы в контракте.
Как злоумышленник использовал $190 на комиссии для вывода $670 000
Согласно данным on-chain, злоумышленник пополнил новый кошелек примерно на $190 в USDC, в основном для покрытия комиссий за транзакции. После трех часов бездействия кошелек начал взаимодействовать с контрактами Solana-карт Avici в 16:49 UTC.
Далее злоумышленник начал выводить балансы отдельных пользователей. Первая крупная партия — около $576 000 — была переведена между 18:19 и 18:34 UTC.
Последующие выводы довели общую сумму вывода до более чем $670 000, при этом атака продолжалась в 8 857 транзакциях.
По мере того как злоумышленник продолжал получать доступ к учетным записям пользователей, общий ущерб платформы превысил $1 миллион.
Одна уязвимость в контракте раскрыла более 1 100 аккаунтов
Злоумышленник не взломал основной трежери Avici и не похитил ключ обновления. Вместо этого эксплойт был направлен на отдельные контракты баланса карт.
Проблема заключалась в устаревшей проверке подписи и разрешений в инфраструктуре, предоставленной партнёром Avici по выпуску карт — Rain.
Злоумышленник отправил специально созданный пакет подписей под названием AddCollateralAdmin, который ошибочно дал ему админ-доступ к более чем 1 100 пользовательским счетам залога.
Затем злоумышленник смог поочередно выводить средства с этих счетов. Согласно on-chain данным, медианный вывод составил $24, а самый крупный — $5 268.
Avici возвращает пользователям средства с 10% кэшбэком
Команда также подтвердила, что пострадавшие балансы полностью восстановлены, а к сумме вывода добавлено дополнительно 10% кэшбэка.
«Если баланс вашей Solana-карты был выведен несколько часов назад, мы восстановили всю сумму и добавили 10% кэшбэка к списанному.»
Avici заявила, что эксплойт был ограничен контрактами Solana-карт, балансы которых пополнялись через систему Top Up. Обычные кошельки Solana и EVM, а также балансы EVM-карт, onramp, offramp и swap не пострадали.
В то же время Avici сообщает, что продолжает мониторить обновленные контракты, пользователи должны проверить восстановленные балансы.
