Bir saldırgan, Avici‘nin kart teminat kasalarından 653.000 dolardan fazla USDC çekiyor. Solana tabanlı bu neobank’ın kendi dokümantasyonu, bu varlıkların sadece kullanıcının cüzdanı tarafından taşınabileceğini vaat ediyordu.
Avici (AVICI) token‘i, saldırının ardından yaklaşık %40 düşerek 0,24 dolara geriliyor. Çalınan miktar, AVICI’nin toplam piyasa değerinin neredeyse beşte birine denk geliyor.
AVICI Fiyat Performansı. Kaynak: CoingeckoAvici Saldırısında Ne Bozuldu？
Avici, USDC destekli bir Visa kredi kartı sunuyor. Kullanıcılar stablecoini bir akıllı kontrata kilitliyor, harcama yapıldıkça bu miktar azalıyor. Kartı doğrudan Avici değil, Third National çıkarıyor.
Şirketin dokümantasyonunda şu ifadeye yer verilmiş: ‘Yalnızca kullanıcının cüzdanı, yapılan harcama düşüldükten sonra escrow kontratından fon çekebilir.’ Bu ifadeyle anahtarların kimin kontrolünde olduğu vurgulanıyor dedi.
Sponsorlu
Sponsorlu
Cuma günü ise kasalar tamamen boşaldı. Anlık takip paneli bu metnin yazıldığı anda 653.548 dolar çekildiğini gösteriyor.
Avici Saldırısı. Kaynak: Canlı Takip Paneli
Kendi kendine saklama (self-custody), parayı kimlerin çekemeyeceğini belirlemişti. Ancak programın kendi kodundaki tüm ayrıcalıklı yolları ortadan kaldırmamıştı. Fonlar, işte bu boşluktan aktı.
Zincir üstü araştırmacılar, saldırganın özel olarak hazırlanmış bir imza paketi sunduğunu, escrow hesaplarında kendisini yönetici yaptığını ve ardından fonları çektiğini söylüyor. Avici ise bu yöntemi henüz doğrulamış değil.
Bu Durum Neden “Hazine Saldırısı” Değil？
Her müşteri için ayrı bir escrow kontratı bulunuyor. Yani paralar tek bir havuzdan çekilmedi, her biri hesap hesap çıkarıldı. Tek seferlik toplu bir hazineden tüm fonlar kaybolmadı.
Burada, örneğin bir Solana yönetim saldırısında olduğu gibi, tek vuruşta 20 milyon doların BONK DAO hazinesinden çekildiği benzer bir senaryo oluşmadı.
Böyle durumların ardından ilişkili token‘lar genellikle hızla toparlanamaz. Nitekim AVICI token’i neredeyse %40 değer kaybetti. Benzer şekilde, bir bridge açığındaki saldırı Midnight‘ın token’ını temmuz ayında tüm zamanların en düşük seviyesine taşımıştı.
Midnight (NIGHT) Token Fiyat Performansı. Kaynak: BeInCrypto Markets
Avici şu ana dek sadece kart bakiyesindeki çekim işlemlerini etkileyen bir sorun olduğunu bildirdi. Henüz detaylı bir ‘post-mortem’ raporu paylaşılmadı.
Were aware of an issue affecting card balance withdrawals and are closely monitoring the situation.
Were working directly with all relevant partners to resolve it and will share updates as soon as we have more information.
Şirket, kalan kasaların kullanılabilir olup olmadığı veya Third National iş birliğinde kart ödemelerinin etkilenip etkilenmediği konusunda da bilgi vermedi.