Een kwetsbaarheid in een verouderd contract van Rain Cards heeft geleid tot een diefstal van ongeveer 1,1 miljoen euro aan crypto, waarbij de AVICI-token van neobank Avici met 49 procent daalde.
Een kwetsbaarheid in een verouderd contract van Rain Cards heeft geleid tot een diefstal van ongeveer 1,1 miljoen dollar (ongeveer 1 miljoen euro) aan crypto. Dit incident trof verschillende op Solana gebaseerde programma’s, waaronder neobank Avici, waarvan de AVICI-token na het nieuws met maar liefst 49 procent in waarde daalde.
Avici, een neobank die gebruikers toelaat hun crypto uit te geven via een Visa-geïntegreerde kredietkaart, zag zijn token zakken van een 24-uurs hoogtepunt van 0,43 dollar naar een dieptepunt van 0,217 dollar. Hoewel de koers nadien wat herstelde, blijft de impact aanzienlijk. Bij Avici werden 1.685 gebruikers getroffen, goed voor een verlies van 500.800 dollar (ongeveer 460.000 euro). Ook een andere crypto-neobank, Tria, meldde dat 636 van haar gebruikers gedupeerd werden, met verliezen van meer dan 430.000 dollar (ongeveer 395.000 euro). Tria beloofde haar gebruikers volledig te vergoeden, terwijl ook hun token met meer dan 10 procent daalde.
Kwetsbaarheid in oud contract
Avici heeft bevestigd dat de aanval beperkt bleef tot een Solana-contract dat fondsen bevatte nadat klanten hun kaarten hadden opgeladen. De zelfbeherende wallets van Avici op Solana en Ethereum-compatibele netwerken bleven ongedeerd. Het bedrijf heeft toegezegd alle getroffen kaartsaldi volledig terug te betalen. Wanneer die terugbetalingen precies zullen plaatsvinden en hoe ze gefinancierd worden, is nog niet duidelijk.
Rain Cards, dat de onderliggende infrastructuur voor stablecoin-kaarten levert en een Visa-hoofdlid is, stelde vast dat de kwetsbaarheid zich bevond in een verouderde contractversie. Deze versie werd gebruikt door Avici en een handvol andere programma’s. Rain heeft alle programma’s die deze versie draaiden geüpgraded en meldt sindsdien geen verdere ongeoorloofde activiteiten.
Hoe de aanval verliep
Uit transactiegegevens blijkt dat de aanvaller herhaaldelijk een ondertekende autorisatie indiende, zichzelf als beheerder toevoegde aan individuele kaart-onderpandrekeningen en vervolgens de saldi opnam. De gestolen stablecoins werden omgezet naar Solana (SOL), overbrugd naar Ethereum en uiteindelijk via de crypto-mixer Tornado Cash weggesluisd. Het verschil tussen de ongeveer 1,1 miljoen dollar die on-chain werd getraceerd en het gerapporteerde verlies van Avici wijst erop dat ook andere door Rain aangedreven programma’s getroffen zijn. Welke programma’s dat zijn en hoeveel ze precies verloren, hebben de bedrijven niet bekendgemaakt.
Dit incident toont de risico’s die gepaard gaan met de overdracht van beheer bij sommige zelfbeherende crypto-kaarten. Hoewel gebruikers hun geld in Avici-wallets zelf beheerden, werden de fondsen die bestemd waren om uit te geven, verplaatst naar een contract van een derde partij. Dit onderscheid wordt steeds belangrijker, nu de uitgaven via crypto-kaarten in juli meer dan verdrievoudigden tot 1,04 miljard dollar (ongeveer 955 miljoen euro), waarbij stablecoins 70 procent van de meer dan 10 miljoen transacties financierden. Avici heeft overigens een melding gedaan bij het Internet Crime Complaint Center van de Amerikaanse FBI.
Een reactie achterlaten