Exploitation d'un contrat Rain : 1,1 M$ volés, AVICI -49%
Avici indique que 500 800 $ ont été prélevés sur les soldes de financement par carte de 1 685 utilisateurs, avec des remboursements promis mais sans calendrier précisé.
Un attaquant a exploité une vulnérabilité dans un contrat de financement de carte Rain obsolète sur Solana, siphonnant environ 1,1 million de dollars à travers plusieurs programmes le 29 août. Avici a déclaré des pertes de 500 800 dollars parmi 1 685 utilisateurs et a vu son jeton AVICI chuter jusqu'à 49 % avant un rebond partiel alors que des promesses de remboursement arrivaient sans calendrier précisé.
Principaux enseignements
- Une vulnérabilité dans un contrat de carte Rain obsolète surSolanaa été exploité, siphonnant environ 1,1 million de dollars à travers plusieurs programmes alimentés par Rain.
- Avici a révélé que 500 800 $ avaient été volés à 1 685 utilisateurs et a déclaré que la violation était limitée aux contrats de financement par carte plutôt qu'aux fonds propres des utilisateurs.de gardeportefeuilles.
- AVICI a échangé d'un sommet de 24 heures de 0,43 $ à un niveau record de 0,217 $, soit une baisse de 49 %.retrait, avant de rebondir à des niveaux décrits comme étant environ 0,305 $ et autour de 0,378 $.
- Tria a rapporté 636 utilisateurs affectés avec des pertes totalisant plus de 430 000 $ et a promis un remboursement intégral alors que son jeton a chuté de plus de 10 % à un moment donné.
L'exploitation du contrat de carte Rain obsolète déclenche une chute de 49 % d'AVICI
Une exploitation de Solana liée à un contrat de carte Rain obsolète s'est transformée en un événement de risque au niveau du jeton en quelques heures. Environ 1,1 million de dollars ont été drainés à travers plusieurs programmes utilisant la même infrastructure de carte, avec Avici et Tria comme les deux seuls programmes à quantifier publiquement l'impact sur les utilisateurs.
Avici a estimé à 500 800 $ le montant volé à 1 685 utilisateurs. La réponse du marché a été immédiate. AVICI est tombé d'un sommet de 24 heures de 0,43 $ à un niveau record de 0,217 $, une chute de 49 %, avant de rebondir.
L'impression du rebond est désordonnée. Un point de référence place le rebond post-bas à 0,305 $, tandis qu'un autre le place autour de 0,378 $ au moment de l'écriture. Cette divergence importe moins que la structure du mouvement : le jeton a été échangé comme un proxy pour la confiance dans l'infrastructure, et non comme un incident contenu avec un périmètre clair.
Tria, une autre néobanque crypto fonctionnant avec un système de carte alimenté par Rain, a déclaré que 636 utilisateurs avaient été affectés avec des pertes totalisant plus de 430 000 $. Elle a promis de rembourser intégralement les utilisateurs même si son jeton a chuté de plus de 10 % à un moment donné.
Rain a déclaré que sa surveillance avait identifié la vulnérabilité dans une version de contrat obsolète utilisée par Avici et « un petit nombre d'autres programmes ». Rain a déclaré avoir mis à jour chaque programme utilisant cette version et n'a signalé aucune autre activité non autorisée.
Ce qui a été drainé : contrats de financement de carte vs. portefeuilles ‘auto-conservés’
La distinction critique dans cet incident est l'endroit où les fonds se trouvaient au moment de la compromission. Avici se décrit comme une néobanque auto-conservée, mais le flux de recharge de carte crée un transfert de garde que les traders devraient modéliser séparément de la sécurité des portefeuilles.
Avici a déclaré que l'attaque était limitée à un contrat Solana détenant des fonds après que les clients aient rechargé leurs cartes. Il a précisé que les portefeuilles auto-gérés des utilisateurs sur Solana etles réseaux compatibles avec Ethereumn'ont pas été affectés. En d'autres termes, la violation a ciblé la couche de solde de dépense, et non la couche de portefeuille contrôlée par l'utilisateur.
C'est la partie qui a tendance à être mal évaluée. "Auto-géré" peut être vrai pour le produit de portefeuille tout en étant toujours sans rapport pour le produit de carte, car les dépenses par carte nécessitent un pool programmatique destablecoinsqui peut être débité, autorisé et réglé. Ce pool est unesurface de contrat intelligentet ici, c'est la surface qui a échoué.
Les contreparties ne sont également pas abstraites. Les conditions de la carte d'Avici identifient Third National comme l'émetteur de la carte. Rain, décrit comme un membre principal de Visa, fournit l'infrastructure de carte stablecoin sous-jacente. Cette pile est ce qui fait fonctionner la carte. C'est aussi ce qui concentre le risque opérationnel et le risque de contrat intelligent dans une dépendance partagée.
L'effet de second ordre est simple : une fois qu'un rail partagé est perçu comme fragile, chaque jeton lié à des programmes sur ce rail hérite d'une partie de la prime de risque, même si sa propre garde de portefeuille au niveau de l'application est intacte.
Comment l'attaquant a pris le contrôle et où sont allés les fonds
Le modèle d'exploitation décrit dans les données de transaction est opérationnellement évolutif, ce qui aide à expliquer pourquoi plusieurs programmes ont été touchés plutôt qu'un seul pool isolé.
L'attaquant a répété l'envoi d'une autorisation signée, s'est ajouté en tant qu'administrateur à des cartes individuelles.collatéraldes comptes et a retiré des soldes. Cette séquence implique que l'attaquant n'avait pas besoin de forcer chaque compte depuis le début. Il pouvait réutiliser un flux d'autorisation pour élever les privilèges compte par compte, puis vider.
Après extraction, le chemin des fonds a suivi un scénario familier conçu pour réduire la traçabilité et augmenter l'optionnalité. Les stablecoins volés ont été échangés contre des SOL, transférés vers Ethereum, et finalement acheminés via Tornado Cash.
Deux implications en découlent. Premièrement, le volet SOL suggère que l'attaquant a optimisé pour la liquidité et la rapidité sur Solana avant de passer d'une chaîne à l'autre. Deuxièmement, le pont vers Ethereum et le routage vers Tornado Cash signalent une intention d'obscurcir la piste plutôt que de retirer immédiatement des fonds par un seul canal.
Rain a déclaré avoir mis à jour tous les programmes exécutant la version obsolète du contrat et n'avoir constaté aucune autre activité non autorisée. C'est la revendication de confinement. Ce qui reste inconnu, c'est de savoir si d'autres déploiements ou contrats adjacents partagent des modèles d'autorisation ou d'attribution d'administrateur similaires qui pourraient être exploités dans d'autres conditions.
Promesses de remboursement, exposition inconnue et contexte de croissance des cartes crypto
Les promesses de remboursement font actuellement le travail de sentiment, mais les détails d'exécution sont le véritable catalyseur. Avici a promis des remboursements complets pour tous les soldes de cartes affectés et a déclaré avoir déposé un rapport auprès du Centre de plainte pour crimes sur Internet du FBI. Il n'a pas précisé quand les remboursements arriveraient ni comment ils seraient financés.
L'écart entre les 1,1 million de dollars environ tracés sur la chaîne et la divulgation de 500 800 dollars d'Avici implique que d'autres programmes alimentés par Rain ont également été touchés. Rain a déclaré qu'un "petit nombre" d'autres programmes étaient affectés, mais ni Rain ni les programmes touchés n'ont identifié la liste complète ou divulgué les pertes totales par programme au-delà d'Avici et Tria.
Cette incertitude n'est pas académique pour les traders. Si d'autres programmes divulguent des pertes, le marché revalorisera l'incident de "deux applications affectées" à "échec de rail partagé", et le taux de remise sur tout jeton lié à ce rail a tendance à s'élargir.
Le contexte est la croissance. Les dépenses en crypto-cartes suivies ont plus que triplé pour atteindre 1,04 milliard de dollars en juillet, les stablecoins finançant 70 % de plus de 10 millions de transactions. Plus de volume signifie plus de soldes dans des contrats de garantie de carte, et plus d'incitation pour les attaquants à rechercher des déploiements obsolètes et des erreurs de permission.
À court terme, quatre signaux comptent plus que les récits :
Avici doit publier le calendrier des remboursements et la source de financement, que ce soit le trésor, l'assurance, le soutien des partenaires ou un autre mécanisme. Sans cela, la promesse se lit comme une intention, pas comme un règlement.
Rain doit rendre la remédiation lisible. "Mis à jour chaque programme exécutant cette version" est une affirmation que les traders voudront corroborer par une cartographie claire des versions de contrat et une confirmation qu'aucun déploiement obsolète n'est encore actif.
Le marché a également besoin de la carte d'exposition manquante. Identifier les autres programmes affectés et leurs totaux de pertes fait la différence entre un titre unique et une revalorisation systémique des rails de crypto-cartes.
Enfin, la trace sur la chaîne est toujours une variable active même après le routage de Tornado Cash. Tout regroupement ou lien avec des entités connues changerait la probabilité de récupération, et cela changerait également la façon dont les contreparties évaluent le risque de futures tentatives.
Mon avis : C'est le risque d'infrastructure qui se manifeste sous forme de volatilité des jetons.
Je lis le mouvement d'AVICI comme le marché évaluant un échec de dépendance partagée, pas un incident d'application unique. Les chiffres soutiennent ce cadre. Environ 1,1 million de dollars drainés à travers plusieurs programmes n'est pas une histoire de "l'utilisateur a été phishé". C'est une exploitation au niveau du rail qui s'est exprimée à travers des jetons à faible capitalisation avec une liquidité mince.
Le seuil qui compte n'est pas le rebond à partir de 0,217 $. C'est de savoir si Avici peut transformer les « remboursements complets » en remboursements datés et financés. Si Avici publie un calendrier clair et une source de financement crédible, le surplomb se comprime et le jeton peut revenir vers des fondamentaux spécifiques à l'application plutôt que vers la confiance dans la plateforme.
Si le calendrier reste ouvert, le jeton continue de porter une décote de financement car la responsabilité est réelle même si la couche de portefeuille n'a pas été touchée.
Il y a aussi un deuxième seuil derrière la déclaration de remédiation de Rain. Si le fait que Rain a « mis à jour chaque programme fonctionnant sur cette version » se vérifie et qu'aucun programme supplémentaire ne fait surface avec des pertes significatives, l'incident reste limité et le marché peut le traiter comme un échec de déploiement hérité.
Si d'autres programmes révèlent des pertes, ou si un autre déploiement obsolète est trouvé, l'histoire passe de « contrat obsolète » à « contrôle des processus », et c'est à ce moment-là que la prime de risque devient structurelle.
Les mécanismes d'exploitation pointent vers l'échelle. Réutiliser une autorisation signée pour ajouter des droits d'administrateur sur de nombreux comptes de garantie par carte est le genre de schéma qui transforme un bogue en balayage. C'est pourquoi l'identité des autres programmes affectés est importante.
Cela vous indique si c'était un scan opportuniste qui a trouvé quelques cibles faciles, ou une méthode répétable appliquée sur une surface plus large.
Le point de confirmation pratique est simple : des remboursements avec des dates et un financement, plus une comptabilité complète des programmes affectés, ramèneraient cela à un incident isolé. Sans ces deux divulgations, la volatilité d'AVICI est la façon dont le marché évalue l'incertitude d'infrastructure dans un jeton qui ne peut pas échapper à ses dépendances.
