Avici攻击导致Solana用户损失超过100万美元

针对基于Solana的加密卡平台Avici的持续攻击 reportedly 已经从用户抵押账户中抽走了超过100万美元，同时其AVICI代币跌至历史低点。

摘要

• 嫌疑攻击者在一个检查点持有10,005 SOL和约11,600美元的稳定币。
• 链上记录显示在抵押品提取之前进行了多次添加管理员的调用。
• Avici承认存在卡余额提取问题，但未确认报告的损失。
• AVICI在24小时内下跌49.4%，触及0.2175美元的历史低点。

Avici攻击者在提取前添加管理员

根据报道，嫌疑攻击者在18:58 UTC时收集了10,005.03 SOL，价值约107万美元，以及大约11,600美元的USDC和USDT。其分析基于攻击进行时收集的Solana交易日志和RPC数据。

该钱包在13:40 UTC通过deBridge获得了初始资金，当时从另一个网络转入了1.79 SOL。在大约三个小时的非活动后，该地址在16:49:48 UTC时首次调用了与Avici程序相关的操作。

出版物审查的交易日志显示，受影响账户的过程是相同的三步。首先，钱包通过Avici的授权程序调用了SubmitSignatures，该交易还使用了Solana的Ed25519签名验证程序。
您可能还喜欢：CCC漏洞导致攻击者从BSC流动性池中抽走117,000美元

接下来，攻击者在Avici的抵押程序上调用了AddCollateralAdmin，为用户账户注册了一个额外的管理员。最后，WithdrawCollateralAsset调用将抵押品转移到攻击者控制的账户。

在一笔审查的交易中，提取指令将2,346.77 USDT从用户的抵押账户中转移。攻击者还将一些收集到的稳定币转换为SOL，包括一次交换返回了209.76 SOL。

在出版物的检查点时，该钱包已签署14,672笔交易，其中2,344笔失败。在11分钟内，其SOL持有量增加了约2,595个代币，价值约277,000美元。

匿名链上分析师STACC还为受影响的转账创建了一个实时跟踪器。根据跟踪器引用的数字，已识别出125个发送账户，单笔转账金额从约9 USDC到超过26,000 USDT不等。

Avici和一家独立安全公司均未发布事后分析，确认攻击者是如何获得授权的。尽管交易序列显示了资金的流动，但并未确定事件是否由于程序缺陷、凭证被盗、签名权限暴露或其他故障导致。

Avici确认卡提取问题

Avici在首次报告与其程序相关的交易后约1小时53分钟在X上承认了这一事件。

“我们意识到影响卡余额提取的问题，并正在密切监控情况。”

该公司补充说，它正在与相关合作伙伴直接合作，并将在更多信息可用时提供更新。Avici并未将此次事件称为漏洞，未确认被盗金额或受影响客户的数量。

还有几个其他问题仍未得到解答，包括活动是否已经停止，Avici是否暂停了其程序，以及受影响用户是否会获得赔偿。该公司尚未透露是否有任何签名密钥或管理账户被泄露。

在Avici发布声明之前，用户在社交媒体上报告了余额缺失的问题。一位用户特别提到，在等待项目的信息时，他们的整个Avici余额已被抽走。

该事件涉及Avici的卡片抵押和授权程序，而非Solana网络本身。目前没有报告显示Solana的底层区块链存在漏洞。

根据报道，这两个Avici程序都是可升级的，并且共享相同的升级权限。该权限据称是一个标准的Solana账户，而非多重签名账户，尽管尚无证据表明升级权限导致或允许了提款。

随着攻击超越智能合约代码中的缺陷，运营控制受到了更多关注。7月份，crypto.news报道了安全调查结果，显示在2026年第二季度被盗的约7.64亿美元中，有88.3%是由于密钥、签名者和基础设施被攻破。文章中引用的Hacken报告发现，只有4%的追踪项目结合了审计、活跃的漏洞悬赏和第三方监控。

Avici攻击挑战其自我保管声明

Avici将其产品描述为与安全的Visa信用卡连接的自我保管钱包。其Apple App Store列表中指出，用户保持控制权，Avici从不持有他们的资金。

在卡片模型下，客户将加密货币存入抵押账户，并获得相应的信用额度。购买会减少可用的卡片余额，而相关的抵押物随后用于结算。

报告中提到的添加另一个管理员和移除未使用抵押物的能力引发了关于Avici的授权控制如何执行其宣传的自我保管模型的问题。技术发现将要求Avici或独立安全公司解释为何攻击者的签名提交被接受。

Avici的文档将Rain列为参与其卡片服务的合作伙伴。Rain提供稳定币支付基础设施，并与持牌机构合作，发行与Visa和Mastercard连接的卡片。可用的交易分析指向Avici的Solana程序，而Avici和Rain均未表示Rain或Visa的系统受到攻击。

这一区别对用户来说很重要，因为自我保管支付产品应该将未使用的资产保持在钱包所有者的控制之下。Tangem在2025年11月推出了类似的模型，通过虚拟Visa卡进行链上USDC消费，同时用户保留对其资金的保管权。

支付基础设施也面临着与钱包相关的独立事件。7月份，链上分析师发现与稳定币支付提供商Triple-A相关的钱包在包括Solana、Ethereum、TRON和TON在内的网络上出现了超过970万美元的可疑流出。在报告发布时，Triple-A尚未确认客户资产是否受到影响。

AVICI暴跌49%至历史低点

根据CoinGecko的数据，AVICI在24小时内下跌49.4%，降至0.2175美元，因提款的报道传播。这次抛售使该代币的市值降至约284万美元，并将其价格压至历史低点。

在同一24小时内，交易量约为656,543美元。大多数AVICI交易通过MetaDAO的futarchy自动做市商进行，而LBank、KCEX和MEXC则占据了其余的报告活动。

CoinGecko列出AVICI的历史最高价为7.56美元，达到时间为2025年11月26日。事件当天的低点使该代币的价格约比峰值低97%。

Avici Inc.是一家美国公司，其网站上列出了旧金山的地址，而其隐私政策将其标识为特拉华州公司。该平台还为美国客户提供单独的卡片条款，为符合条件的美国用户的钱包和安全卡服务创造了直接的曝光。

该公司在2025年10月通过一次限额的MetaDAO代币销售筹集了350万美元。MetaDAO的筹款记录显示，7352名贡献者承诺了约3423万美元，但Avici在施加销售上限后，返还了约89.8%的承诺USDC。

此次发行将AVICI定价为0.35美元，项目的完全稀释估值约为452万美元。Avici通过此次销售发行了1000万个代币，占其1290万个代币供应量的约77.5%。
阅读更多：代币化黄金正在成为加密借贷中的生产性抵押品，Arch表示

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。