coindesk.com
Eine Sicherheitslücke in einem veralteten Rain-Card-Vertrag führte zu einem Diebstahl von rund 1,1 Millionen US-Dollar aus mehreren auf Solana basierenden Programmen, einschließlich $500.800 von 1.685 Avici-Nutzern, was dazu führte, dass der AVICI-Token der Neobank um bis zu 49 % fiel.
AVICI — eine selbstverwaltete Neobank, die es Nutzern ermöglicht, ihre Kryptowährungen über eine mit Visa integrierte Kreditkarte auszugeben — fiel von einem 24-Stunden-Hoch von 0,43 USD auf ein Rekordtief von 0,217 USD, bevor sie sich zum Zeitpunkt der Erstellung dieses Artikels auf etwa 0,378 USD erholte.
Tria, eine weitere Krypto-Neobank, berichtete, dass 636 Nutzer betroffen waren, was zu Verlusten in Höhe von mehr als 430.000 US-Dollar führte. Das Unternehmen erklärte, die Nutzer vollständig entschädigen zu wollen, obwohl sein Token zeitweise um mehr als 10 % einbrach.
Avici erklärte, der Angriff habe sich auf einen Solana-Vertrag beschränkt, der Gelder hält, nachdem Kunden ihre Karten aufgeladen hatten. Die Selbstverwahr-Wallets des Unternehmens auf Solana- und Ethereum-kompatiblen Netzwerken waren nicht betroffen, und das Unternehmen versicherte, dass jedes betroffene Karten-Guthaben erstattet wird.
Rain gab an, dass es seine Überwachung fortsetztidentifiziert die Schwachstelle in einer veralteten Vertragsversion, die von Avici und einer kleinen Anzahl anderer Programme verwendet wird. Es aktualisierte jedes Programm, das diese Version nutzt, und meldete keine weiteren unerlaubten Aktivitäten.
Avicis Bedingungen identifizieren Third National als Kartenherausgeber, während Rain, ein Visa Hauptmitglied, stellt die zugrundeliegende Infrastruktur für Stablecoin-Karten bereit.
Transaktionsdaten zeigen, dass der Angreifer wiederholt eine signierte Autorisierung übermittelte, sich selbst als Administrator zu einzelnen kartenbesicherten Konten hinzufügte und deren Guthaben abhob. Die gestohlenen Stablecoins wurden in Solana (SOL) getauscht, über eine Bridge zu Ethereum transferiert und schließlich über den Krypto-Mixer Tornado Cash geleitet.
Der Unterschied zwischen den etwa 1,1 Millionen US-Dollar, die auf der Blockchain nachverfolgt wurden, und dem von Avici gemeldeten Verlust deutet darauf hin, dass auch andere von Rain unterstützte Programme betroffen waren.
Keine der beiden Unternehmen hat diese Programme benannt oder die insgesamt verlorene Summe offengelegt.
Der Vorfall deckt die Verwahrungsübergabe bei einigen selbstverwahrten Krypto-Karten auf. Nutzer kontrollierten Geld, das in Avici-Wallets gehalten wurde, doch zum Ausgeben geladene Gelder wurden in einen Vertrag eines Drittanbieters verschoben.
Diese Unterscheidung wird zunehmend bedeutender, da Die erfassten Ausgaben mit Krypto-Karten haben sich im Juli mehr als verdreifacht und beliefen sich auf 1,04 Milliarden US-Dollar, mit Stablecoins, die 70 % von mehr als 10 Millionen Transaktionen finanzieren.