حمله به Avici بیش از ۱ میلیون دلار از کاربران Solana خالی کرد

حمله‌ای که به پلتفرم کارت رمزنگاری مبتنی بر Solana به نام Avici انجام شده، گزارش شده است که بیش از ۱ میلیون دلار از حساب‌های وثیقه کاربران خالی کرده است و توکن AVICI به پایین‌ترین سطح تاریخی خود رسیده است. خلاصه

• مظنون به حمله ۱۰,۰۰۵ SOL و حدود ۱۱,۶۰۰ دلار در استیبل‌کوین‌ها در یک نقطه کنترل داشت.
• سوابق زنجیره‌ای نشان داد که تماس‌های مکرری وجود داشته که قبل از برداشت وثیقه، یک مدیر را اضافه کرده است.
• Avici مشکل برداشت موجودی کارت را تأیید کرد اما خسارت گزارش شده را تأیید نکرد.
• AVICI در عرض ۲۴ ساعت ۴۹.۴٪ کاهش یافت و به پایین‌ترین سطح تاریخی ۰.۲۱۷۵ دلار رسید.

حمله‌کننده Avici قبل از برداشت‌ها مدیران را اضافه می‌کند

بر اساس گزارش‌ها، مظنون به حمله ۱۰,۰۰۵.۰۳ SOL جمع‌آوری کرده است که در زمان ۱۸:۵۸ UTC حدود ۱.۰۷ میلیون دلار ارزش داشت، به همراه تقریباً ۱۱,۶۰۰ دلار در USDC و USDT. تحلیل آن بر اساس لاگ‌های تراکنش Solana و داده‌های RPC جمع‌آوری شده در حین حمله بود.

کیف پول از طریق deBridge در ساعت ۱۳:۴۰ UTC تأمین مالی اولیه خود را دریافت کرد، زمانی که ۱.۷۹ SOL از یک شبکه دیگر وارد شد. پس از حدود سه ساعت غیرفعال بودن، آدرس اولین تماس خود را که شامل برنامه‌های Avici بود در ساعت ۱۶:۴۹:۴۸ UTC انجام داد.

لاگ‌های تراکنش بررسی شده توسط نشریه نشان داد که همان فرآیند سه مرحله‌ای در حساب‌های تحت تأثیر قرار گرفته وجود دارد. ابتدا، کیف پول از طریق برنامه مجوز Avici تماس SubmitSignatures را در یک تراکنش که همچنین از برنامه تأیید امضای Ed25519 Solana استفاده می‌کرد، برقرار کرد.
شما همچنین ممکن است دوست داشته باشید: سوءاستفاده CCC ۱۱۷ هزار دلار را پس از هدف قرار دادن استخر نقدینگی BSC خالی می‌کند

سپس، حمله‌کننده تماس AddCollateralAdmin را در برنامه وثیقه Avici برقرار کرد و یک مدیر اضافی برای حساب کاربر ثبت کرد. در نهایت، تماس WithdrawCollateralAsset وثیقه را به حسابی که تحت کنترل حمله‌کننده بود منتقل کرد.

در یک تراکنش بررسی شده، دستور برداشت ۲,۳۴۶.۷۷ USDT را از حساب وثیقه یک کاربر منتقل کرد. حمله‌کننده همچنین برخی از استیبل‌کوین‌های جمع‌آوری شده را به SOL تبدیل کرد، از جمله یک مبادله که ۲۰۹.۷۶ SOL بازگشت داد.

تا نقطه کنترل نشریه، کیف پول ۱۴,۶۷۲ تراکنش امضا کرده بود که از این تعداد ۲,۳۴۴ مورد ناموفق بود. دارایی‌های SOL آن در یک دوره ۱۱ دقیقه‌ای حدود ۲,۵۹۵ توکن افزایش یافت که در آن زمان تقریباً ۲۷۷,۰۰۰ دلار ارزش داشت.

تحلیلگر ناشناس زنجیره‌ای STACC همچنین یک ردیاب زنده برای انتقال‌های تحت تأثیر ایجاد کرد. بر اساس اعداد ذکر شده از ردیاب، ۱۲۵ حساب ارسال شناسایی شده‌اند که انتقال‌های فردی از حدود ۹ USDC تا بیش از ۲۶,۰۰۰ USDT متغیر است.

نه Avici و نه یک شرکت امنیتی مستقل گزارشی منتشر نکرده‌اند که نحوه دریافت مجوز توسط حمله‌کننده را شناسایی کند. اگرچه توالی تراکنش نشان می‌دهد که چگونه وجوه منتقل شده‌اند، اما مشخص نمی‌کند که آیا این حادثه ناشی از نقص برنامه، اعتبارنامه‌های به خطر افتاده، یک مقام امضای در معرض یا یک شکست دیگر بوده است.

Avici مشکل برداشت کارت را تأیید می‌کند

Avici این حادثه را در یک پست X که حدود یک ساعت و ۵۳ دقیقه پس از اولین تراکنش گزارش شده مربوط به برنامه‌هایش منتشر شد، تأیید کرد.

"ما از وجود مشکلی که بر برداشت‌های موجودی کارت تأثیر می‌گذارد، آگاه هستیم و به دقت وضعیت را زیر نظر داریم."

این شرکت افزود که به‌طور مستقیم با شرکای مربوطه کار می‌کند و به‌روزرسانی‌هایی را ارائه خواهد داد به محض اینکه اطلاعات بیشتری در دسترس قرار گیرد. Avici این حادثه را سوءاستفاده ننامید، تأیید نکرد که چه مقدار از دست رفته است یا تعداد مشتریان تحت تأثیر قرار گرفته را بیان نکرد.

سؤالات دیگری نیز بی‌پاسخ مانده است، از جمله اینکه آیا فعالیت متوقف شده است، آیا Avici برنامه‌های خود را متوقف کرده است و آیا کاربران تحت تأثیر جبران خسارت خواهند شد. این شرکت فاش نکرده است که آیا هیچ کلید امضا یا حساب‌های مدیریتی به خطر افتاده‌اند.

کاربران قبل از انتشار بیانیه Avici در رسانه‌های اجتماعی از موجودی‌های گمشده گزارش داده بودند. یکی از کاربران به‌ویژه گفت که تمام موجودی Avici او در حالی که منتظر اطلاعات از پروژه بود، خالی شده است.

این حادثه به برنامه‌های وثیقه کارت و مجوز آویچی مربوط می‌شود و نه به شبکه سولانا. هیچ گزارشی در دسترس نیست که آسیب‌پذیری در بلاک‌چین زیرین سولانا شناسایی کند.

بر اساس گزارش‌ها، هر دو برنامه آویچی قابل ارتقا بودند و همان مقام ارتقا را به اشتراک می‌گذاشتند. این مقام به‌طور گزارش شده یک حساب استاندارد سولانا بود و نه یک حساب چندامضایی، هرچند هیچ مدرکی هنوز نشان نداده است که مقام ارتقا باعث یا امکان‌پذیرکننده برداشت‌ها بوده است.

کنترل‌های عملیاتی توجه بیشتری را به خود جلب کرده‌اند زیرا حملات از نقص‌های موجود در کد قراردادهای هوشمند فراتر رفته‌اند. در ماه ژوئیه، crypto.news گزارشی از یافته‌های امنیتی منتشر کرد که نشان می‌دهد کلیدهای آسیب‌دیده، امضا کنندگان و زیرساخت‌ها ۸۸.۳٪ از حدود ۷۶۴ میلیون دلار سرقت شده در سه‌ماهه دوم سال ۲۰۲۶ را شامل می‌شوند. گزارشی که در مقاله ذکر شده است، نشان داد که تنها ۴٪ از پروژه‌های ردیابی شده ترکیبی از حسابرسی‌ها، جوایز فعال باگ و نظارت‌های شخص ثالث را داشتند.

چالش‌های حمله آویچی به ادعاهای خودنگهداری آن

آویچی محصول خود را به عنوان یک کیف پول خودنگهدار متصل به یک کارت اعتباری ویزا توصیف می‌کند. فهرست آن در فروشگاه اپل اپ استور بیان می‌کند که کاربران در کنترل باقی می‌مانند و آویچی هرگز وجوه آن‌ها را نگه نمی‌دارد.

در مدل کارت، مشتریان ارز دیجیتال را به حساب‌های وثیقه واریز می‌کنند و یک حد اعتباری متناسب دریافت می‌کنند. خریدها موجودی کارت قابل استفاده را کاهش می‌دهند، در حالی که وثیقه مربوطه بعداً برای تسویه استفاده می‌شود.

توانایی گزارش شده برای افزودن یک مدیر دیگر و حذف وثیقه‌های مصرف نشده سوالاتی را درباره چگونگی اجرای کنترل‌های مجوز آویچی بر مدل خودنگهداری تبلیغ شده‌اش مطرح می‌کند. یک یافته فنی نیاز به توضیح آویچی یا یک شرکت امنیتی مستقل خواهد داشت تا توضیح دهد چرا امضای حمله‌کننده پذیرفته شده است.

مستندات آویچی، باران را به عنوان یک شریک در خدمات کارت خود شناسایی می‌کند. باران زیرساخت پرداخت استیبل‌کوین را تأمین می‌کند و با مؤسسات دارای مجوز برای صدور کارت‌های متصل به ویزا و مسترکارت همکاری می‌کند. تحلیل‌های موجود از تراکنش‌ها به برنامه‌های سولانا آویچی اشاره دارد و نه آویچی و نه باران نگفته‌اند که سیستم‌های باران یا ویزا به خطر افتاده‌اند.

این تمایز برای کاربران مهم است زیرا یک محصول پرداخت خودنگهدار باید دارایی‌های مصرف نشده را تحت کنترل مالک کیف پول نگه دارد. تانجم مدلی مشابه را در نوامبر ۲۰۲۵ معرفی کرد، با هزینه‌کرد USDC زنجیره‌ای از طریق یک کارت مجازی ویزا در حالی که کاربران کنترل وجوه خود را حفظ کردند.

زیرساخت پرداخت همچنین با حوادث جداگانه مرتبط با کیف پول مواجه شده است. در ماه ژوئیه، تحلیلگران زنجیره‌ای جریان‌های مشکوکی را شناسایی کردند که از ۹.۷ میلیون دلار فراتر رفتند و از کیف پول‌های مرتبط با ارائه‌دهنده پرداخت استیبل‌کوین Triple-A در شبکه‌هایی از جمله سولانا، اتریوم، TRON و TON خارج شدند. Triple-A تأیید نکرده بود که آیا دارایی‌های مشتری در زمان انتشار گزارش درگیر بوده‌اند.

AVICI به پایین‌ترین سطح تاریخی ۴۹٪ سقوط می‌کند

AVICI در ۲۴ ساعت گذشته ۴۹.۴٪ کاهش یافت و به ۰.۲۱۷۵ دلار رسید زیرا گزارش‌های مربوط به برداشت‌ها منتشر شد، بر اساس داده‌های CoinGecko که در آن زمان ذکر شده است. این فروش باعث کاهش ارزش بازار توکن به حدود ۲.۸۴ میلیون دلار و کاهش قیمت آن به پایین‌ترین سطح تاریخی‌اش شد.

حجم معاملات در همان دوره ۲۴ ساعته به حدود ۶۵۶,۵۴۳ دلار رسید. بیشتر معاملات AVICI از طریق سازنده بازار خودکار futarchy متاDAO انجام شد، در حالی که LBank، KCEX و MEXC باقی‌مانده فعالیت‌های گزارش شده را تشکیل دادند.

CoinGecko بالاترین رکورد AVICI را ۷.۵۶ دلار، که در ۲۶ نوامبر ۲۰۲۵ به دست آمده است، ذکر می‌کند. پایین‌ترین سطح روز حادثه، توکن را تقریباً ۹۷٪ زیر آن اوج قرار داد.

آویچی اینک یک شرکت آمریکایی است که آدرس سان فرانسیسکو را در وب‌سایت خود فهرست کرده است، در حالی که سیاست حفظ حریم خصوصی آن را به عنوان یک شرکت دلاور شناسایی می‌کند. این پلتفرم همچنین شرایط کارت جداگانه‌ای برای مشتریان آمریکایی ارائه می‌دهد و در معرض مستقیم کاربران واجد شرایط آمریکایی خدمات کیف پول و کارت‌های امن خود قرار می‌گیرد.

شرکت در اکتبر ۲۰۲۵ مبلغ ۳.۵ میلیون دلار از طریق فروش توکن محدود MetaDAO جمع آوری کرد. رکورد جمع آوری سرمایه MetaDAO نشان می‌دهد که ۷۳۵۲ مشارکت‌کننده حدود ۳۴.۲۳ میلیون دلار متعهد شدند، اما Avici حدود ۸۹.۸٪ از USDC متعهد شده را پس از اعمال سقف فروش بازگرداند.

این پیشنهاد قیمت AVICI را ۰.۳۵ دلار تعیین کرد و ارزش پروژه را به طور تقریبی ۴.۵۲ میلیون دلار در حالت کاملاً رقیق شده تخمین زد. Avici از طریق این فروش ۱۰ میلیون توکن صادر کرد که حدود ۷۷.۵٪ از مجموع ۱۲.۹ میلیون توکن آن را نمایندگی می‌کند. خواندن بیشتر: طلا به توکن تبدیل شده و به وثیقه‌ای تولیدی در وام‌دهی ارزهای دیجیتال تبدیل می‌شود، Arch می‌گوید

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.