Un atacante robó más de 653,000 dólares de los vaults de colateral de Avici Card, un neobanco de Solana cuya propia documentación prometía que solo la wallet del usuario podría mover ese dinero.
El token Avici (AVICI) ha caído desde entonces cerca de 40% hasta 0.24 dólares. La suma robada equivale a casi una quinta parte de todo su valor de mercado.
¿Cómo se ejecutó el exploit en Avici?
Avici vende una tarjeta de crédito Visa respaldada por USDC. Los usuarios bloquean la stablecoin en un contrato inteligente, y los gastos la van disminuyendo. Third National emite la tarjeta, no Avici.
“Solo la wallet del usuario puede retirar fondos del contrato de escrow después de deducir los gastos”, dice la documentación de la empresa, indicando quién tiene las claves.
Sin embargo, el viernes los vaults igual fueron vaciados, y un rastreador en vivo contabilizaba 653,548 dólares robados al momento de esta redacción.
La autocustodia establecía quién no podía tomar el dinero. Pero no eliminó todos los caminos privilegiados que estaban escritos en el programa. Por esa brecha se fueron los fondos.
Investigadores on-chain dicen que el atacante presentó un paquete de firmas manipulado, se dio a sí mismo privilegios de administrador en las cuentas de escrow y luego retiró los fondos. Avici no ha confirmado este método.
¿Por qué no fue un hack a la tesorería?
Cada cliente tiene su propio contrato de escrow. Así que el dinero fue retirado cuenta por cuenta. No existía un único fondo común para vaciar.
Esto sugiere un patrón ya conocido, como cuando un ataque de gobernanza en Solana robó 20 millones de dólares de una tesorería de BONK DAO en una sola acción.
Los tokens asociados rara vez logran superar estos incidentes, por eso el token AVICI cayó casi 40%. De forma parecida, una vulneración a un puente hizo caer el token de Midnight a un mínimo histórico en julio.
Avici solo ha dicho que es consciente de un problema que afecta los retiros de saldo de tarjetas. No han publicado ningún análisis posterior.
La empresa no ha dicho si las bóvedas restantes todavía pueden ser llamadas, o si el modelo de liquidación de la tarjeta con Third National se ha visto afectado.
El post El neobanco de Solana, Avici, sufre un hack por $650,000: el token cae 40% fue visto por primera vez en BeInCrypto.