Un piratage de carte cryptographique impliquant une vulnérabilité dans l'ancien contrat Rain a entraîné des pertes d'environ 1,1 million de dollars sur plusieurs programmes Solana. Avici est celui qui a le plus souffert : 1 685 utilisateurs ont perdu 500 800 $ et le jeton AVICI s'est immédiatement effondré de 49 %.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Qu'est-il arrivé à Avici et Rain
Avici fonctionne comme une néobanque non dépositaire : les utilisateurs peuvent dépenser de la cryptomonnaie via une carte intégrée à Visa. À la suite de l'incident, AVICI est passé d'un sommet sur 24 heures d'environ 0,43 $ à un plus bas historique de 0,217 $ avant de récupérer une partie de la baisse et de se maintenir à environ 0,378 $.
Selon Avici, l'attaque n'a affecté que le contrat Solana, où se trouvaient les fonds après le rechargement des cartes. Les portefeuilles de self-stockage sur les réseaux Solana et Ethereum compatibles n'ont pas été affectés. La société a promis de compenser tous les soldes de cartes concernés.
Rain a déclaré que la vulnérabilité avait été découverte lors de la surveillance. Il s'agissait d'une version obsolète du contrat utilisée par Avici et plusieurs autres programmes. Après cela, Rain a mis à jour tous les programmes sur cette version et n'a plus enregistré d'opérations non autorisées.
Les pertes n'ont pas seulement touché Avici
Une autre néobanque de crypto-monnaie, Tria, a signalé 636 utilisateurs concernés et plus de 430 000 $ de pertes. La société a également promis un remboursement intégral aux clients, même si son jeton natif était à un moment donné en baisse de plus de 10 %.
La différence entre environ 1,1 million de dollars suivis sur la blockchain et le montant des pertes divulgué par Avici montre que le problème a également affecté d'autres programmes sur l'infrastructure Rain. Leurs noms et les montants individuels des pertes n’ont pas été divulgués.
Comment l'agresseur a agi
Les données transactionnelles présentent un modèle répétitif :
- l'attaquant a envoyé des autorisations signées ;
- s'est ajouté en tant qu'administrateur de comptes de carte individuels ;
- retiré des fonds des comptes.
Les pièces stables volées ont été échangées contre Solana (SOL), après quoi les actifs ont été transférés vers Ethereum et envoyés via le mélangeur de crypto-monnaie Tornado Cash. Cette chaîne rend difficile la traçabilité du destinataire final des fonds.
Les termes et conditions d'Avici stipulent que Third National est l'émetteur de la carte et Rain, un membre majeur de Visa, fournit l'infrastructure sous-jacente aux cartes stablecoin.
Pourquoi cet incident est-il important pour le marché des cartes cryptographiques ?
Le cas Avici montre la faiblesse de certaines solutions de cartes d’auto-conservation :
- les utilisateurs ont conservé le contrôle des fonds dans les portefeuilles Avici ;
- l'argent pour les dépenses quotidiennes a été transféré vers un contrat tiers ;
- Si une vulnérabilité survient dans un tel contrat, c'est le solde de la carte qui est menacé.
Les principaux risques liés aux cartes cryptographiques comprennent le piratage, les vulnérabilités des contrats intelligents, la perte de fonds sur le solde de la carte, le blocage des cartes, les restrictions réglementaires et la volatilité des cryptomonnaies. Par rapport à une carte bancaire classique, il existe davantage de dépendances techniques : le portefeuille, le fournisseur de carte, le système de paiement, le contrat intelligent et la conversion doivent fonctionner sans problème.
Pour les clients, cela est particulièrement sensible, car la crypto-monnaie est de plus en plus utilisée comme monnaie habituelle pour les paiements.
En quoi des cartes similaires peuvent différer
- Type de carte : carte bancaire, carte de débit ou carte crypto peuvent se ressembler, mais fonctionner selon un modèle différent.
- Modèle de stockage de fonds : l'argent peut être sur un compte bancaire, sur le solde d'une carte, dans un portefeuille ou dans un contrat avec un tiers.
- Authentification et vérification : les règles varient selon la banque, la néobanque ou le service crypto.
- Traitement des transactions : le paiement peut s'effectuer comme une transaction bancaire ordinaire ou impliquer la conversion de crypto-monnaie en monnaie fiduciaire via Visa ou Mastercard.
Sur ce marché, il existe des solutions pour Visa et Mastercard à proximité, et les utilisateurs réfléchissent souvent en catégories familières : dollar américain, euro, fiat et paiement instantané à la caisse. Dans l’environnement anglophone, ces produits sont souvent associés au terme cartes Crypto-monnaie, bien que techniquement leur architecture puisse varier considérablement.
Comment fonctionnent habituellement les cartes cryptographiques
Les cartes cryptographiques sont disponibles en débit, crédit, virtuelles et physiques. Une carte de débit vous permet de dépenser un solde pré-réapprovisionné, une carte de crédit vous permet d'utiliser la limite de crédit du fournisseur, une carte virtuelle convient aux paiements en ligne et une carte physique convient au paiement aux terminaux et au retrait d'espèces lorsque cela est pris en charge.
Le schéma de base semble simple : l'utilisateur s'inscrit auprès du fournisseur, subit une vérification, recharge le compte avec de la crypto-monnaie ou des pièces stables, et lors du paiement, le service convertit les actifs en fiat et effectue le paiement via Visa ou Mastercard.
Lors du choix d'une carte cryptographique, ils examinent généralement les frais, les limites, les devises prises en charge, la disponibilité dans le pays souhaité, les exigences KYC, la sécurité et les conditions de service. Les solutions populaires sur le marché incluent souvent Binance Card, Wirex et BitPay.
Le service gratuit, les frais réduits et les cartes sans KYC dépendent du fournisseur spécifique. Ces offres peuvent avoir des limites, des restrictions de pays, des risques accrus de blocage ou des contrôles supplémentaires pour les transactions controversées.
Pour des raisons de sécurité, il est préférable de conserver uniquement le montant des dépenses immédiates sur le solde de la carte, de stocker la majeure partie des actifs séparément, d'activer l'authentification à deux facteurs, d'utiliser des mots de passe complexes et, pour un stockage à long terme, un portefeuille matériel.
L'importance de ces risques augmente avec le volume des opérations. En juillet, les dépenses liées aux cartes de crypto-monnaie suivies ont plus que triplé pour atteindre 1,04 milliard de dollars. Les Stablecoins ont financé 70 % de plus de 10 millions de transactions.
Avici a déposé une plainte auprès du Centre de plaintes contre la criminalité sur Internet du Federal Bureau of Investigation. Les conditions et le mécanisme de restitution des fonds aux utilisateurs n'ont pas encore été divulgués.
Voir l’article original en russe
