Обнаруженная уязвимость в старой версии контракта платежной системы Rain привела к хищению примерно 1,1 миллиона долларов в различных сервисах в сети Solana. Наибольший ущерб понес необанк Avici, где злоумышленники похитили более 500 тысяч долларов у около 1685 клиентов. В результате инцидента стоимость токена AVICI упала на 49%, достигнув минимального значения за всю историю, а затем частично восстановилась.

Avici представляет собой цифровой банк, предоставляющий возможность тратить криптографические активы через карты Visa. За одни сутки цена токена проекта снизилась со значения 0,43 доллара до абсолютного минимума в 0,217 доллара, после чего восстановилась примерно до отметки 0,378 доллара.

Убытки понесли и другие сервисы. Криптонеобанк Tria сообщил об ущербе 636 пользователей с суммарным размером потерь свыше 430 тысяч долларов. Котировка токена Tria снизилась более чем на 10%. Руководство обеих организаций дало обязательство полностью компенсировать похищенные суммы своим клиентам.

По информации Avici, компрометация затронула исключительно смарт-контракт в экосистеме Solana, где находились деньги от пополнений карточек. Персональные кошельки клиентов как в сети Solana, так и в сетях, совместимых с Ethereum, не подверглись атаке.

Специалисты Rain, чьи решения составляют основу карточных сервисов со стейблкоинами Avici и являются значимым партнером платежной системы Visa, выявили уязвимость в устаревшей редакции контракта, которую применяли Avici и некоторые другие сервисы. Rain провела обновление всех приложений с этой версией и подтвердила, что дополнительных несанкционированных доступов не обнаружено.

Согласно соглашению об обслуживании Avici, эмитентом платежной карты функционирует банк Third National, тогда как сотрудники Rain предоставляют техническую основу для карточек на базе стейблкоинов.

Изучение истории операций выявило, что нарушитель многократно использовал подписанные авторизационные команды, присваивал себе статус администратора на отдельных счетах залога карточек и переводил финансовые средства. Похищенные стейблкоины были обменены на SOL, переправлены через кроссчейн-мост в эксосистему Ethereum и затем пропущены через криптографический микшер Tornado Cash.

Расхождение между суммой 1,1 млн долларов, отслеженной в блокчейне, и объемом ущерба, заявленным Avici, позволяет предположить, что убытки пострадали и другие сервисы в системе Rain. Ни одна из компаний не раскрыла названия этих сервисов и не предоставила конкретные цифры по каждому из них.

Произошедшее событие выявило особенность схемы «собственного хранения» у определенной категории криптографических карт: хотя клиенты теоретически контролируют активы на счетах Avici, деньги, переведенные для платежей картой, физически переводятся в контракт третьей стороны. Данный момент приобретает особую важность в контексте увеличения оборотов по криптокартам: в июле месяце отслеживаемый оборот подобных платежей вырос в три раза и превысил 1,04 млрд долларов, при этом стейблкоины составили 70% от общего числа более 10 млн операций.

Руководство Avici сообщило о подаче заявления в отделение по рассмотрению жалоб на киберпреступления при Федеральном бюро расследований США (IC3). Сроки проведения и источники компенсационных выплат уточняются.