Do ataku doszło w jednym z kontraktów wykorzystywanych do zasilania kart kryptowalutowych. Luka w nieaktualnej wersji kontraktu Rain pozwoliła napastnikowi przejąć środki o łącznej wartości około 1,1 mln dolarów, a incydent wywołał gwałtowną przecenę tokena neobanku Avici.
1,1 mln dolarów skradzionych z ekosystemu Solany
Eksploit dotknął kilka programów działających w sieci Solana. W przypadku Avici straty oszacowano na około 500 800 dolarów, a poszkodowanych zostało 1685 użytkowników.
Problem dotyczył środków zdeponowanych po zasileniu kart płatniczych. Nie naruszono natomiast portfeli samodzielnie kontrolowanych przez klientów, działających zarówno w sieci Solana, jak i w ekosystemach kompatybilnych z Ethereum.
Avici określa swoje usługi jako rozwiązanie typu self-custodial neobank. Użytkownicy mogą przechowywać kryptowaluty we własnych portfelach, a następnie korzystać z nich za pośrednictwem karty płatniczej powiązanej z systemem Visa.
To dobry przykład, że nawet w projektach stawiających na samodzielną kontrolę nad aktywami ryzyko nie znika całkowicie. Najbardziej wrażliwym elementem bywa infrastruktura pośrednia, a nie sam portfel użytkownika. W praktyce bezpieczeństwo całego ekosystemu zależy od najsłabszego ogniwa.
Token AVICI stracił niemal połowę wartości
Informacja o ataku szybko odbiła się na kursie tokena AVICI. W ciągu doby jego cena spadła z poziomu około 0,43 dolara do 0,217 dolara, ustanawiając historyczne minimum.
Oznaczało to przecenę sięgającą 49 proc. Później notowania częściowo odrobiły straty i wynosiły około 0,378 dolara w momencie opisywania sytuacji.
Reakcja rynku pokazuje, jak silnie tokeny powiązane z projektami kryptowalutowymi reagują na problemy dotyczące bezpieczeństwa. Nawet jeśli incydent nie obejmuje bezpośrednio wszystkich aktywów użytkowników, inwestorzy często wyprzedają token projektu w obawie przed większymi konsekwencjami.
Poszkodowani użytkownicy mają otrzymać zwrot środków
Avici zapewniło, że każdy klient, którego saldo na karcie zostało naruszone, otrzyma pełny zwrot. Firma zgłosiła również sprawę do Internet Crime Complaint Center, jednostki FBI zajmującej się cyberprzestępczością.
Na razie nie podano jednak konkretnego terminu wypłat ani szczegółów dotyczących źródła finansowania rekompensat. To może mieć znaczenie dla oceny stabilności projektu i jego dalszej działalności.
Podobne deklaracje złożyła firma Tria, inny kryptowalutowy neobank korzystający z infrastruktury Rain. W tym przypadku atak miał dotknąć 636 użytkowników, a łączna wartość strat przekroczyła 430 tys. dolarów. Token Tria również chwilowo stracił ponad 10 proc.
Jak przebiegał atak?
Analiza transakcji w blockchainie wskazuje, że napastnik wielokrotnie przesyłał podpisane autoryzacje. Następnie dodawał własny adres jako administratora poszczególnych kont zabezpieczających środki zasilające karty.
Po uzyskaniu uprawnień atakujący wypłacał zgromadzone salda. Skradzione stablecoiny zostały później zamienione na tokeny SOL, przesłane do sieci Ethereum, a następnie skierowane do miksera kryptowalut Tornado Cash, który utrudnia śledzenie przepływu środków.
Kwota około 1,1 mln dolarów zidentyfikowana w danych on-chain jest wyższa niż strata ujawniona przez Avici. Może to oznaczać, że luka dotknęła również innych projektów korzystających z usług Rain, choć ich nazw ani dokładnych strat nie ujawniono.
Rain zaktualizował podatne kontrakty
Rain poinformował, że jego systemy monitorujące wykryły problem w nieaktualnej wersji kontraktu. Z rozwiązania tego korzystało Avici oraz niewielka liczba innych programów.
Firma zapewniła, że zaktualizowała wszystkie aplikacje wykorzystujące podatną wersję. Według Rain po wdrożeniu poprawek nie odnotowano kolejnych nieautoryzowanych operacji.
W modelu stosowanym przez Avici Rain odpowiada za infrastrukturę kart opartą na stablecoinach, natomiast emitentem karty jest Third National. Taki podział odpowiedzialności może utrudniać użytkownikom ustalenie, która firma powinna reagować w przypadku utraty środków.
Self-custody ma swoje ograniczenia
Incydent zwrócił uwagę na ważną kwestię dotyczącą kryptowalutowych kart płatniczych. Użytkownik może kontrolować własny portfel, ale po zasileniu karty środki często trafiają do zewnętrznego kontraktu zarządzanego przez operatora infrastruktury.
W praktyce oznacza to, że deklarowana samodzielna kontrola nad aktywami nie zawsze obejmuje pieniądze przeznaczone na codzienne płatności. To właśnie ten etap przekazania środków do kontraktu okazał się kluczowym punktem ryzyka w przypadku Avici.
Znaczenie problemu rośnie wraz z popularnością kryptowalutowych kart. W lipcu wartość monitorowanych płatności tego typu przekroczyła 1,04 mld dolarów, a stablecoiny odpowiadały za około 70 proc. z ponad 10 mln transakcji.
Atak na kontrakt Rain pokazuje więc, że rozwój płatności kryptowalutowych wymaga nie tylko wygodnej obsługi i integracji z systemami kartowymi, lecz także regularnych audytów, szybkiego wycofywania przestarzałych kontraktów oraz jasnych zasad odpowiedzialności za środki klientów.
Kolejna strata dla crypto świata. Avici zapewnia zwrot, ale kto wie kiedy to nastąpi? Inwestorzy często reagują paniką i nie ma co się dziwić. Szkoda, że znowu na bezpieczeństwie nikt nie chce oszczędzać.
Ludzie muszą w końcu zrozumieć, że nie ma takiej rzeczy jak „self-custody” w kryptowalutach bez ryzyka. Jak widać, nawet zewnętrzne kontrakty nie są bezpieczne. Taki incydent to dowód na to, że dokładne sprawdzenie tego, co robimy z naszymi funduszami, jest kluczowe.
Zastanawiam się, dlaczego Rain nie zaktualizowali kontraktów wcześniej. TDP w blockchainie powinno być monitorowane na bieżąco, a jak widać niektórzy dostawcy infrastruktury zaniedbują temat. W końcu to ich reputacja i bezpieczeństwo użytkowników są na szali.
Czy ktoś jeszcze tutaj widzi, jak te tokeny latają w górę i w dół? Strata 49% to masakra – nawet jeżeli Avici odda te pieniądze, to zaufanie już jest uszkodzone. To kolejny dowód na to, że w świecie kryptowalut mamy bardziej emocjonalny rynek niż jakikolwiek inny.
Po doświadczeniach z kryptowalutami radzę każdemu nie przechowywać większych kwot na zewnętrznych platformach. Dobrze, że Avici obiecuje zwroty, ale pamiętajcie, że w dzisiejszych czasach płatności sprzętowych mamy do czynienia z bardzo nowoczesnymi ryzykami.
Zawsze mówiłem, że karty kryptowalutowe to ryzykowny biznes. Klient może uważać, że ma pełną kontrolę, a tu nagle okazuje się, że jego środki są właśnie na zewnętrznym kontrakcie. Nie dziwi mnie spadek ceny AVICI – w końcu rynek jest nieprzewidywalny.
Ktoś może mi powiedzieć, jak dobrze zabezpieczyć portfel kryptowalutowy? Widziałem tyle recenzji, a potem takie przypadki. Czy jakaś alternatywa dla Avici byłaby lepsza? Jak to wpływa na projekty związane z Solaną? Czekam na porady od bardziej doświadczonych!