Seorang penyerang menguras lebih dari US$653.000 dari vault jaminan kartu di Avici, sebuah neobank Solana yang dalam dokumentasinya sendiri menjanjikan bahwa hanya wallet pengguna yang dapat memindahkan dana tersebut.
Token Avici (AVICI) sejak itu turun sekitar 40% menjadi US$0,24. Jumlah yang diambil hampir seperlima dari total nilai pasarnya.
Apa yang Rusak Akibat Eksploitasi Avici
Avici menjual kartu kredit Visa yang dijamin oleh USDC. Pengguna mengunci stablecoin itu dalam smart contract, dan setiap kali digunakan, saldo stablecoin tersebut berkurang. Third National yang menerbitkan kartunya, bukan Avici.
“Hanya wallet pengguna yang dapat menarik dana dari escrow contract setelah dikurangi transaksi,” jelas dokumentasi perusahaan itu, mengindikasikan siapa yang memegang kunci.
Pada hari Jumat, vault tetap saja terkuras. Tracker langsung mencatat US$653.548 uang keluar hingga saat ini.
Konsep self-custody sudah menentukan siapa yang tidak boleh mengambil dana. Tapi konsep ini tidak menghapus seluruh jalur istimewa yang tertulis dalam programnya. Celah itulah tempat dana menghilang.
Peneliti on-chain menuturkan, penyerang mengirimkan bundle tanda tangan yang sudah dimodifikasi, lalu menjadikan dirinya sebagai admin pada akun escrow, dan kemudian melakukan penarikan. Avici belum mengonfirmasi metode tersebut.
Ikuti kami di X untuk update berita terbaru secara langsung
Mengapa Ini Bukan Peretasan Treasury
Setiap nasabah memegang escrow contract terpisah. Jadi, uangnya dikuras satu per satu pada tiap akun, dan tidak ada satu pun pool dana besar yang dikosongkan sekaligus.
Hal ini menunjukkan pola yang sudah sering terjadi, seperti saat serangan governance Solana menarik US$20 juta dari satu treasury BONK DAO dalam satu waktu.
Token terkait pada umumnya sulit pulih jika menghadapi kasus seperti ini, itulah sebabnya harga token AVICI hampir turun 40%. Cara yang sama juga membuat insiden bridge breach menjatuhkan harga token Midnight ke rekor terendah pada Juli lalu.
Avici hanya berkomentar bahwa mereka sedang mengetahui adanya masalah yang memengaruhi proses penarikan saldo kartu. Belum ada laporan lanjutan (post-mortem).
Perusahaan juga belum menjelaskan apakah vault yang tersisa masih bisa diakses, atau apakah settlement kartu dengan Third National ikut terdampak.
