ソラナのネオバンク「Avici」で、攻撃者がカード担保ボールトから65万3548ドル超を流出させた。Aviciの公式ドキュメントでは、資金移動はユーザーのウォレットのみ可能と明記していた。
Avici（AVICI）のトークン価格はその後約40％下落し、0.24ドルとなった。流出額は時価総額の約2割に相当。
Aviciで何が破られたか
AviciはUSDC担保のVisaクレジットカードを提供している。ユーザーはステーブルコインをスマートコントラクトにロックし、利用額だけ差し引かれる。カードの発行主体はAviciでなくThird National。
「利用後、ユーザーのウォレットのみがエスクローコントラクトから資金を引き出すことができる」と同社のドキュメントには、鍵の保有者について明記されている。
しかし金曜日にボールトは空となり、リアルタイムのトラッカーによると、本稿執筆時点で65万3548ドルが流出した。
セルフカストディの仕組みは、資金取得ができない者を排除していたが、プログラム上、全ての権限経路を除外していなかった。この隙を突かれ、資金が流出した。
オンチェーン調査によれば、攻撃者は細工した署名バンドルを提出し、自らをエスクロー口座の管理者に設定した上で資金を引き出したという。Aviciはこの手法を公式に認めていない。
最新ニュースをリアルタイムで知りたい方はこちら（X）をフォロー
なぜ財務金庫のハッキングではないか
各ユーザーごとに分離されたエスクローコントラクトが存在するため、資金は1件ずつ個別に流出した。プール全体を一度に空にする形式ではなかった。
これはソラナのガバナンス攻撃で、BONK DAO財務から1回で2000万ドルが流出した事例など、過去の類似パターンとは異なるとみられる。
関連トークンはこうした事案を回復できないことが多く、AVICIトークンも約40％下落した。橋渡しプロトコルの侵害で、Midnightのトークンも7月に過去最安値を記録した。
Aviciは「カード残高引き出しに影響する事象を認識している」とのみ発表しており、詳細な調査報告は行われていない。
同社は残りのボールトが引き出し可能か、Third Nationalとのカード決済が影響を受けているかは説明していない。
