Un exploit de sécurité Avici basé sur Solana a révélé plus d'un million de dollars de fonds d'utilisateurs, après qu'un attaquant n'aurait dépensé que 190 dollars en essence avant de drainer plus de 670 000 dollars. Pendant ce temps, l'équipe Avici a désormais remboursé intégralement l'utilisateur concerné et ajouté 10 % de cashback après avoir identifié et résolu le problème du contrat.
Comment l'attaquant a utilisé 190 $ d'essence pour drainer 670 000 $
Selon les données en chaîne, l'attaquant a financé un nouveau portefeuille avec environ 190 $ en USDC, principalement pour couvrir les frais de transaction. Après être resté inactif pendant environ trois heures, le portefeuille a commencé à interagir avec les contrats de la carte Solana d'Avici à 16h49 UTC.
L’attaquant a alors commencé à drainer les soldes des utilisateurs individuels. Le premier lot majeur d'environ 576 000 $ a été déplacé entre 18h19 et 18h34 UTC.
L'attaquant Avici a transformé 190 $ en 670 000 $ 🔥
Portefeuille créé hier à 13h40 UTC. Financé avec 190 $ USDC provenant d’Ethereum – juste assez pour le gaz. La vidange a commencé à 16h49. 8 857 transactions et ce n’est pas fini.
Même schéma sur tous les comptes :
1. soumettre un ensemble de signatures
2.…– Notes de l'officier (@officer_secret) 29 août 2026
D'autres retraits ont poussé le montant total drainé au-dessus de 670 000 $, tandis que l'attaque se poursuivait sur 8 857 transactions.
Alors que l’attaquant continuait à accéder aux comptes d’utilisateurs, les pertes totales de la plateforme ont finalement dépassé 1 million de dollars.
Une faille contractuelle révélée sur plus de 1 100 comptes
L'attaquant n'a pas pénétré dans la trésorerie principale d'Avici ni volé de clé de mise à niveau. Au lieu de cela, l’exploit ciblait les contrats de solde de carte individuels.
Le problème impliquait une vérification de signature et d'autorisation obsolète dans l'infrastructure fournie par Rain, le partenaire émetteur de cartes d'Avici.
L'attaquant a soumis un ensemble de signatures spécialement créé, appelé AddCollateralAdmin, qui lui a donné à tort un accès administrateur à plus de 1 100 comptes de garantie d'utilisateurs.
L’attaquant pourrait alors retirer les fonds de ces comptes un par un. Les données en chaîne ont montré un retrait médian de 24 $, tandis que le retrait le plus important de l'échantillon était de 5 268 $.
Avici rembourse les utilisateurs avec 10 % de cashback
Avici a déclaré avoir mis à jour le contrat Solana concerné et n'avoir constaté aucune autre activité connexe.
L’équipe a également confirmé que les soldes concernés avaient été intégralement rétablis, avec une remise en argent supplémentaire de 10 % sur le montant retiré.
« Si le solde de votre carte Solana a été retiré il y a quelques heures, nous avons restauré le montant total et ajouté 10 % de remise en argent sur ce qui a été retiré. »
Avici a déclaré que l'exploit était limité aux contrats de carte Solana détenant des soldes ajoutés via son système Top Up. Les portefeuilles Solana et EVM classiques, ainsi que les soldes de cartes EVM, les rampes d'accès, les sorties et les échanges, n'ont pas été affectés.
Avici affirme qu'il continue de surveiller les contrats mis à jour tandis que les utilisateurs sont invités à vérifier leurs soldes restaurés.
Cet écrit a-t-il été utile ?
L'histoire se termine ici
Faites confiance à CoinPedia :
CoinPedia fournit des mises à jour précises et opportunes sur les crypto-monnaies et la blockchain depuis 2017. Tout le contenu est créé par notre panel d'experts d'analystes et de journalistes, suivant des directives éditoriales strictes basées sur EEAT (Expérience, Expertise, Autorité, Fiabilité). Chaque article est vérifié par rapport à des sources réputées pour garantir l'exactitude, la transparence et la fiabilité. Notre politique d'évaluation garantit des évaluations impartiales lors de la recommandation d'échanges, de plateformes ou d'outils. Nous nous efforçons de fournir des mises à jour en temps opportun sur tout ce qui concerne la cryptographie et la blockchain, des startups aux majors du secteur.
Avis de non-responsabilité en matière d'investissement :
Toutes les opinions et idées partagées représentent les propres points de vue de l’auteur sur les conditions actuelles du marché. Veuillez faire vos propres recherches avant de prendre des décisions d’investissement. Ni l'écrivain ni la publication n'assument la responsabilité de vos choix financiers.
Sponsorisé et publicités :
Du contenu sponsorisé et des liens d'affiliation peuvent apparaître sur notre site. Les publicités sont clairement signalées et notre contenu éditorial reste entièrement indépendant de nos partenaires publicitaires.
Lire la prochaine actualité