Um hack na Avici, plataforma baseada na rede Solana, resultou na exposição de mais de US$ 1 milhão em fundos de usuários. O invasor gastou apenas US$ 190 em taxas de rede para realizar os saques indevidos.
Apesar da gravidade do evento, a equipe da Avici agiu de forma imediata. A empresa corrigiu a vulnerabilidade e reembolsou integralmente os clientes afetados, adicionando um bônus de 10% de cashback sobre o valor desviado.
Dados on-chain mostram que o invasor financiou uma nova carteira com US$ 190 em USDC para cobrir os custos das transações. Após um período de inatividade, a carteira iniciou a interação com os contratos de cartão da Avici na Solana.
A extração dos saldos individuais começou logo em seguida. O primeiro lote significativo, de aproximadamente US$ 576 mil, foi transferido em um intervalo de apenas 15 minutos.
A execução do ataque envolveu 8.857 transações, elevando o valor retirado para mais de US$ 670 mil nessa fase inicial. Com a continuidade dos acessos não autorizados, as perdas totais da plataforma ultrapassaram a marca de US$ 1 milhão.
Como a falha estrutural permitiu o hack na Avici
A invasão não ocorreu por meio da invasão da tesouraria principal da plataforma ou do roubo de chaves de atualização. O alvo do hack na Avici foram os contratos individuais de saldo dos cartões.
O problema originou-se em uma verificação desatualizada de assinaturas e permissões na infraestrutura da Rain, a parceira responsável pela emissão dos cartões da plataforma.
O invasor utilizou um pacote de assinaturas forjado, chamado “AddCollateralAdmin”, que concedeu acesso de administrador a mais de 1.100 contas de garantia de usuários.
Com essa permissão, os fundos foram retirados conta por conta. A média de saque foi de US$ 24, enquanto a maior transação isolada registrada no ataque foi de US$ 5.268.
Em comunicado oficial, a empresa confirmou a resolução do problema nos contratos da rede e detalhou o reembolso: “Se o saldo do seu cartão Solana foi retirado há algumas horas, nós restauramos o valor total e adicionamos 10% de cashback sobre o que foi retirado”.
A companhia esclareceu que a vulnerabilidade se limitou aos contratos de cartão Solana alimentados pelo sistema de recarga (Top Up). Carteiras tradicionais na Solana e em redes EVM, além de serviços de conversão, rampas de acesso e swaps, operam com segurança e não foram comprometidos.
