گزارش‌ها حاکی از آن است که یک حمله در حال انجام علیه پلتفرم کارت کریپتوی Avici مبتنی بر سولانا، بیش از ۱ میلیون دلار از حساب‌های وثیقه کاربران را تخلیه کرده و توکن AVICI آن را به پایین‌ترین حد خود در تاریخ رسانده است.

مهاجم Avici پیش از برداشت‌ها مدیران را اضافه می‌کند

بر اساس گزارش‌ها، مهاجم مظنون ۱۰,۰۰۵.۰۳ واحد SOL به ارزش حدود ۱.۰۷ میلیون دلار در ساعت ۱۸:۵۸ UTC، به همراه تقریباً ۱۱,۶۰۰ دلار در USDC و USDT جمع‌آوری کرده بود. تحلیل آن بر اساس لاگ‌های تراکنش سولانا و داده‌های RPC بود که در حین وقوع حمله جمع‌آوری شده بود.

کیف پول بودجه اولیه خود را از طریق deBridge در ساعت ۱۳:۴۰ UTC دریافت کرد، زمانی که ۱.۷۹ واحد SOL از شبکه دیگری رسید. پس از حدود سه ساعت عدم فعالیت، این آدرس اولین فراخوانی خود را شامل برنامه‌های Avici در ساعت ۱۶:۴۹:۴۸ UTC انجام داد.

لاگ‌های تراکنش که توسط نشریه بررسی شد، همان فرآیند سه‌مرحله‌ای را در حساب‌های تحت تأثیر نشان داد. ابتدا، کیف پول از طریق برنامه احراز هویت Avici، تابع SubmitSignatures را در تراکنشی فراخوانی کرد که از برنامه تأیید امضای Ed25519 سولانا نیز استفاده می‌کرد.

سپس، مهاجم تابع AddCollateralAdmin را در برنامه وثیقه Avici فراخوانی کرد و یک مدیر اضافی برای حساب کاربری ثبت کرد. سپس یک فراخوانی نهایی WithdrawCollateralAsset وثیقه را به حسابی تحت کنترل مهاجم منتقل کرد.

در یک تراکنش بررسی شده، دستور برداشت ۲,۳۴۶.۷۷ واحد USDT را از حساب وثیقه یک کاربر منتقل کرد. مهاجم همچنین برخی از استیبل‌کوین‌های جمع‌آوری شده را به SOL تبدیل کرد، از جمله یک مبادله که ۲۰۹.۷۶ واحد SOL بازگرداند.

تا نقطه کنترل نشریه، کیف پول ۱۴,۶۷۲ تراکنش را امضا کرده بود که از این تعداد ۲,۳۴۴ تراکنش ناموفق بود. دارایی SOL آن در یک دوره ۱۱ دقیقه‌ای حدود ۲,۵۹۵ توکن افزایش یافت که در آن زمان تقریباً ۲۷۷,۰۰۰ دلار ارزش داشت.

تحلیلگر ناشناس درون‌زنجیره‌ای STACC همچنین یک ردیاب زنده برای نقل و انتقالات تحت تأثیر ایجاد کرد. بر اساس ارقام ذکر شده از ردیاب، ۱۲۵ حساب فرستنده شناسایی شده بود که نقل و انتقالات فردی از تقریباً ۹ USDC تا بیش از ۲۶,۰۰۰ USDT متغیر بود.

نه Avici و نه یک شرکت امنیتی مستقل، گزارشی پس از حادثه منتشر نکرده‌اند که مشخص کند مهاجم چگونه مجوز را به دست آورده است. اگرچه توالی تراکنش‌ها نحوه جابجایی وجوه را نشان می‌دهد، اما مشخص نمی‌کند که آیا این حادثه ناشی از نقص برنامه، اطلاعات اعتباری به خطر افتاده، افشای یک مرجع امضا یا یک شکست دیگر بوده است.

Avici مشکل برداشت کارت را تأیید می‌کند

Avici این حادثه را در یک پست X که حدود یک ساعت و ۵۳ دقیقه پس از اولین تراکنش گزارش شده شامل برنامه‌هایش منتشر شد، تأیید کرد.

«ما از مشکلی که بر برداشت موجودی کارت تأثیر می‌گذارد آگاه هستیم و وضعیت را به دقت رصد می‌کنیم.»

این شرکت اضافه کرد که مستقیماً با شرکای مربوطه همکاری می‌کند و پس از در دسترس قرار گرفتن اطلاعات بیشتر، به‌روزرسانی‌هایی را ارائه خواهد داد. Avici این حادثه را یک بهره‌برداری (exploit) ننامید، میزان برداشت شده یا تعداد مشتریان تحت تأثیر را تأیید نکرد.

چندین سؤال دیگر نیز بی‌پاسخ مانده است، از جمله اینکه آیا این فعالیت متوقف شده است، آیا Avici برنامه‌های خود را متوقف کرده است، و آیا کاربران متضرر غرامت دریافت خواهند کرد یا خیر. این شرکت فاش نکرده است که آیا کلیدهای امضا یا حساب‌های مدیریتی به خطر افتاده‌اند یا خیر.

کاربران پیش از انتشار بیانیه Avici، گزارش‌هایی مبنی بر گم شدن موجودی در شبکه‌های اجتماعی داده بودند. یک کاربر به طور خاص گفت که کل موجودی Avici وی در حالی که منتظر اطلاعات از پروژه بود، تخلیه شده است.

این حادثه به برنامه‌های وثیقه کارت و احراز هویت Avici مربوط می‌شود تا خود شبکه سولانا. هیچ گزارشی تاکنون یک آسیب‌پذیری در بلاکچین زیربنایی سولانا شناسایی نکرده است.

بر اساس گزارش‌ها، هر دو برنامه Avici قابل ارتقا بودند و از یک مرجع ارتقاء مشترک استفاده می‌کردند. این مرجع ظاهراً یک حساب استاندارد سولانا بود تا یک حساب چندامضایی، هرچند هیچ مدرکی هنوز نشان نداده است که مرجع ارتقاء باعث یا امکان برداشت‌ها شده باشد.

کنترل‌های عملیاتی با توجه به حرکت حملات فراتر از نقص‌های موجود در کد قرارداد هوشمند، توجه فزاینده‌ای را به خود جلب کرده‌اند. در ماه جولای، crypto.news یافته‌های امنیتی را گزارش داد که نشان می‌دهد کلیدهای به خطر افتاده، امضاکنندگان و زیرساخت‌ها ۸۸.۳ درصد از حدود ۷۶۴ میلیون دلار سرقت شده در سه ماهه دوم سال ۲۰۲۶ را تشکیل می‌دهند. گزارش Hacken که در این مقاله ذکر شده است، نشان داد که تنها ۴ درصد از پروژه‌های ردیابی شده، حسابرسی‌ها، برنامه‌های فعال پاداش برای یافتن باگ (bug bounties) و نظارت شخص ثالث را ترکیب کرده‌اند.

حمله Avici ادعاهای خودحضانتی آن را به چالش می‌کشد

Avici محصول خود را به عنوان یک کیف پول خودحضانتی (self-custodial) متصل به یک کارت اعتباری ویزا امن توصیف می‌کند. لیست آن در اپ استور اپل بیان می‌کند که کاربران کنترل خود را حفظ می‌کنند و Avici هرگز وجوه آن‌ها را نگهداری نمی‌کند.

تحت مدل کارت، مشتریان کریپتو را در حساب‌های وثیقه واریز کرده و یک حد اعتباری متناظر دریافت می‌کنند. خریدها موجودی کارت موجود را کاهش می‌دهند، در حالی که وثیقه مربوطه بعداً برای تسویه استفاده می‌شود.

توانایی گزارش شده برای اضافه کردن یک مدیر دیگر و حذف وثیقه خرج نشده، سؤالاتی را در مورد نحوه اجرای مدل خودحضانتی تبلیغ شده Avici توسط کنترل‌های احراز هویت آن ایجاد می‌کند. یک یافته فنی نیازمند این است که Avici یا یک شرکت امنیتی مستقل توضیح دهند که چرا ارسال‌های امضای مهاجم پذیرفته شده است.

مستندات Avici، شرکت Rain را به عنوان شریکی درگیر در خدمات کارت خود شناسایی می‌کند. Rain زیرساخت پرداخت استیبل‌کوین را تامین می‌کند و با مؤسسات دارای مجوز برای صدور کارت‌های متصل به ویزا و مسترکارت همکاری می‌کند. تحلیل تراکنش‌های موجود به برنامه‌های سولانا Avici اشاره دارد و نه Avici و نه Rain نگفته‌اند که سیستم‌های Rain یا ویزا به خطر افتاده‌اند.

این تمایز برای کاربران مهم است زیرا یک محصول پرداخت خودحضانتی قرار است دارایی‌های خرج نشده را تحت کنترل مالک کیف پول نگه دارد. Tangem در نوامبر ۲۰۲۵ مدل مشابهی را معرفی کرد، با خرج USDC درون‌زنجیره‌ای از طریق یک کارت ویزا مجازی در حالی که کاربران حضانت وجوه خود را حفظ می‌کردند.

زیرساخت پرداخت نیز با حوادث جداگانه مرتبط با کیف پول روبرو شده است. در ماه جولای، تحلیلگران درون‌زنجیره‌ای خروجی‌های مشکوکی به ارزش بیش از ۹.۷ میلیون دلار را از کیف پول‌های مرتبط با ارائه‌دهنده پرداخت استیبل‌کوین Triple-A در شبکه‌هایی از جمله سولانا، اتریوم، ترون و TON شناسایی کردند. Triple-A در زمان انتشار گزارش تأیید نکرده بود که آیا دارایی‌های مشتریان درگیر بوده‌اند یا خیر.

AVICI با ۴۹% کاهش به پایین‌ترین حد خود می‌رسد

بر اساس داده‌های CoinGecko که در آن زمان ذکر شد، AVICI در طول ۲۴ ساعت ۴۹.۴ درصد کاهش یافت و به ۰.۲۱۷۵ دلار رسید، همزمان با گسترش گزارش‌ها در مورد برداشت‌ها. این افت باعث کاهش ارزش بازار توکن به حدود ۲.۸۴ میلیون دلار شد و قیمت آن را به پایین‌ترین سطح تاریخی رساند.

حجم معاملات در همان دوره ۲۴ ساعته به حدود ۶۵۶,۵۴۳ دلار رسید. بیشتر معاملات AVICI از طریق بازارساز خودکار فوتارشی MetaDAO انجام شد، در حالی که LBank، KCEX و MEXC مسئول فعالیت‌های گزارش شده باقی‌مانده بودند.

CoinGecko بالاترین رکورد AVICI را ۷.۵۶ دلار ذکر کرده که در ۲۶ نوامبر ۲۰۲۵ به دست آمده است. پایین‌ترین قیمت در روز حادثه، توکن را تقریباً ۹۷ درصد پایین‌تر از آن اوج قرار داد.

Avici Inc. یک شرکت آمریکایی است که آدرس سان فرانسیسکو را در وب‌سایت خود ذکر کرده، در حالی که خط مشی رازداری آن را به عنوان یک شرکت دلاور شناسایی می‌کند. این پلتفرم همچنین شرایط کارت جداگانه‌ای را برای مشتریان آمریکایی ارائه می‌دهد که برای کاربران آمریکایی واجد شرایط کیف پول و خدمات کارت امن آن، در معرض خطر مستقیم ایجاد می‌کند.

این شرکت ۳.۵ میلیون دلار از طریق یک فروش توکن MetaDAO با سقف در اکتبر ۲۰۲۵ جمع‌آوری کرد. سوابق جمع‌آوری کمک مالی MetaDAO نشان می‌دهد که ۷,۳۵۲ مشارکت‌کننده تقریباً ۳۴.۲۳ میلیون دلار تعهد کرده بودند، اما Avici پس از اعمال سقف فروش، حدود ۸۹.۸ درصد از USDC تعهد شده را بازگرداند.

این عرضه، AVICI را با قیمت ۰.۳۵ دلار قیمت‌گذاری کرد و ارزش پروژه را بر اساس رقیق‌شده کامل (fully diluted) تقریباً ۴.۵۲ میلیون دلار تعیین کرد. Avici ۱۰ میلیون توکن را از طریق این فروش منتشر کرد که حدود ۷۷.۵ درصد از عرضه ۱۲.۹ میلیون توکنی آن را تشکیل می‌دهد.