coindesk.com
Una vulnerabilidad en un contrato obsoleto de Rain card drenó aproximadamente 1.1 millones de dólares a través de varios programas basados en Solana, incluyendo $500,800 de 1,685 usuarios de Avici, haciendo que el token AVICI del neobanco caiga hasta un 49%.
AVICI — un neobanco de autogestión que permite a los usuarios gastar su criptomoneda a través de una tarjeta de crédito integrada con Visa — cayó desde un máximo de 24 horas de $0.43 hasta un mínimo histórico de $0.217 antes de recuperarse alrededor de $0.378 al momento de redactar este informe.
Tria, otro neobanco cripto, informó que 636 usuarios resultaron afectados, con pérdidas que superan los $430,000. Se comprometió a reembolsar a los usuarios en su totalidad, incluso cuando su token cayó más de un 10% en un momento dado.
Avici declaró que el ataque se limitó a un contrato de Solana que retenía fondos después de que los clientes recargaran sus tarjetas. Sus billeteras de autocustodia en Solana y en redes compatibles con Ethereum no se vieron afectadas, y la empresa afirmó que se reembolsaría el saldo de cada tarjeta afectada.
Rain dijo que está monitoreando identificado la vulnerabilidad en una versión desactualizada del contrato utilizada por Avici y un pequeño número de otros programas. Actualizó cada programa que ejecutaba esa versión y no reportó ninguna otra actividad no autorizada.
Términos de Avici identificar Third National como emisor de la tarjeta, mientras que Rain, un Miembro principal de Visa, proporciona la infraestructura subyacente para la tarjeta de stablecoin.
Los datos de la transacción muestran que el atacante envió repetidamente una autorización firmada, se añadió a sí mismo como administrador en cuentas individuales colateralizadas con tarjetas y retiró sus saldos. Las stablecoins robadas fueron intercambiadas por solana (SOL), puentadas a Ethereum y finalmente enviadas a través del mezclador de criptomonedas Tornado Cash.
La diferencia entre los aproximadamente $1.1 millones rastreados onchain y la pérdida reportada por Avici indica que otros programas impulsados por Rain también fueron afectados.
Ninguna de las dos empresas ha identificado esos programas ni ha revelado el monto total perdido por cada una.
El incidente expone la transferencia de custodia detrás de algunas tarjetas criptográficas de autocustodia. Los usuarios controlaban el dinero almacenado en carteras Avici, pero los fondos cargados para el gasto se trasladaban a un contrato de terceros.