Avici攻擊使Solana用戶損失超過100萬美元

目前針對基於Solana的加密卡平台Avici的攻擊已報導使超過100萬美元從用戶抵押賬戶中被盜取，同時使其AVICI代幣跌至歷史低點。
摘要

• 據悉，嫌疑攻擊者在一個檢查點持有10,005 SOL和約11,600美元的穩定幣。
• 鏈上記錄顯示，在抵押品提取之前，重複調用添加管理員的操作。
• Avici承認存在卡餘額提取問題，但未確認報導的損失。
• AVICI在24小時內下跌49.4%，觸及0.2175美元的歷史低點。

Avici攻擊者在提取之前添加管理員

根據報導，嫌疑攻擊者在18:58 UTC時收集了10,005.03 SOL，價值約107萬美元，並擁有約11,600美元的USDC和USDT。其分析基於在攻擊進行期間收集的Solana交易日誌和RPC數據。
該錢包在13:40 UTC時通過deBridge獲得了初始資金，當時來自另一個網絡的1.79 SOL到達。該地址在約三小時不活躍後，於16:49:48 UTC進行了首次涉及Avici程序的調用。
該出版物審查的交易日誌顯示，受影響賬戶的過程相同，均為三步驟。首先，該錢包通過Avici的授權程序調用SubmitSignatures，該交易還使用了Solana的Ed25519簽名驗證程序。
你可能還喜歡：CCC漏洞使攻擊者從BSC流動性池中盜取117,000美元
接下來，攻擊者在Avici的抵押品程序上調用AddCollateralAdmin，為用戶賬戶註冊了額外的管理員。最後的WithdrawCollateralAsset調用將抵押品轉移到攻擊者控制的賬戶。
在一個審查的交易中，提取指令從用戶的抵押賬戶中轉移了2,346.77 USDT。攻擊者還將一些收集的穩定幣轉換為SOL，包括一次交換返回了209.76 SOL。
根據出版物的檢查點，該錢包簽署了14,672筆交易，其中2,344筆失敗。在11分鐘內，其SOL持有量增加了約2,595個代幣，當時價值約277,000美元。
匿名鏈上分析師STACC還為受影響的轉賬創建了一個實時跟蹤器。根據跟蹤器引用的數據，已識別出125個發送賬戶，單筆轉賬範圍從約9 USDC到超過26,000 USDT。
Avici或獨立安全公司尚未發布事後分析，確定攻擊者如何獲得授權。雖然交易序列顯示資金的流動，但並未確定事件是否由程序缺陷、憑證被盜、簽名權限暴露或其他故障引起。

Avici確認卡提取問題

Avici在首次報導其程序涉及的交易後約一小時53分鐘在X上承認了此事件。

"我們知道影響卡餘額提取的問題，並正在密切監控情況。"
該公司補充說，它正在與相關合作夥伴直接合作，並將在獲得更多信息後提供更新。Avici並未將此事件稱為漏洞，也未確認被盜取的金額或受影響的客戶數量。
還有幾個問題尚未得到解答，包括活動是否已停止，Avici是否已暫停其程序，以及受影響的用戶是否會獲得賠償。該公司尚未透露是否有任何簽名密鑰或管理賬戶被盜。
用戶在Avici發布聲明之前已在社交媒體上報告了餘額缺失的情況。一位用戶特別表示，他們的整個Avici餘額在等待項目信息時被盜取。

這起事件涉及Avici的卡片抵押和授權計劃，而非Solana網絡本身。沒有可用報告指出Solana的底層區塊鏈存在漏洞。

根據報導，兩個Avici計劃都是可升級的，並共享相同的升級權限。據報導，該權限是一個標準的Solana帳戶，而非多簽帳戶，儘管尚未有證據顯示升級權限導致或使提款成為可能。

隨著攻擊超越智能合約代碼中的缺陷，操作控制受到越來越多的關注。根據crypto.news在七月的報導，安全調查顯示，受損的密鑰、簽署者和基礎設施佔據了2026年第二季度約7.64億美元被盜資金的88.3%。文章中引用的Hacken報告發現，只有4%的追蹤項目結合了審計、主動的漏洞獎勵和第三方監控。

Avici攻擊挑戰其自我保管聲明

Avici將其產品描述為一種自我保管錢包，連接到安全的Visa信用卡。其Apple App Store列表聲明用戶保持控制，Avici從不持有他們的資金。

根據卡片模型，客戶將加密貨幣存入抵押帳戶，並獲得相應的信用額度。購買會減少可用的卡片餘額，而相關的抵押品則在稍後用於結算。

報導中提到的能夠添加另一位管理員並移除未使用的抵押品，引發了對Avici的授權控制如何執行其宣傳的自我保管模型的質疑。一項技術發現將要求Avici或獨立的安全公司解釋為何攻擊者的簽名提交被接受。

Avici的文檔指出Rain是其卡片服務的合作夥伴。Rain提供穩定幣支付基礎設施，並與持牌機構合作發行連接到Visa和Mastercard的卡片。可用的交易分析指向Avici的Solana計劃，而Avici和Rain均未表示Rain或Visa的系統受到損害。

這一區別對用戶來說非常重要，因為自我保管的支付產品應該將未使用的資產保持在錢包擁有者的控制之下。Tangem在2025年11月推出了類似的模型，通過虛擬Visa卡進行鏈上USDC消費，同時用戶保留對其資金的保管權。

支付基礎設施也面臨與錢包相關的獨立事件。在七月，鏈上分析師識別出來自與穩定幣支付提供商Triple-A相關的錢包的可疑流出，超過970萬美元，涵蓋了包括Solana、Ethereum、TRON和TON在內的多個網絡。Triple-A在報告發布時尚未確認客戶資產是否受到影響。

AVICI跌至歷史低點49%

根據CoinGecko的數據，AVICI在24小時內下跌49.4%，至0.2175美元，因提款報導的擴散。這次拋售使該代幣的市值減少至約284萬美元，並將其價格推至歷史低點。

在同一24小時內，交易量約為656,543美元。大多數AVICI交易通過MetaDAO的未來主義自動市場製造商進行，而LBank、KCEX和MEXC則佔據了其餘報告活動。

CoinGecko列出AVICI的歷史最高價為7.56美元，達到於2025年11月26日。事件當天的低點使該代幣的價格約低於該峰值的97%。

Avici Inc.是一家美國公司，其網站上列出了舊金山地址，而其隱私政策則將其識別為特拉華州公司。該平台還為美國客戶提供單獨的卡片條款，為符合條件的美國用戶的錢包和安全卡服務創造了直接的風險敞口。

該公司在 2025 年 10 月通過一場限額的 MetaDAO 代幣銷售籌集了 350 萬美元。MetaDAO 的籌款紀錄顯示，7,352 名貢獻者承諾了約 3423 萬美元，但 Avici 在應用銷售上限後，退還了約 89.8% 的承諾 USDC。

此次發售將 AVICI 定價為 0.35 美元，並在完全稀釋的基礎上將該項目估值約為 452 萬美元。Avici 通過此次銷售發行了 1000 萬個代幣，這約占其 1290 萬個代幣供應的 77.5%。
閱讀更多：代幣化黃金正在成為加密貸款中的生產性抵押品，Arch 表示

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。