Một kẻ tấn công đã rút hơn 653,000 USD khỏi các kho tài sản thế chấp thẻ tại Avici, một ngân hàng số trên Solana mà theo tài liệu chính thức từng cam kết chỉ ví cá nhân của người dùng mới có quyền chuyển số tiền này.
Giá token Avici (AVICI) đã giảm khoảng 40% còn 0.24 USD. Số tiền bị chiếm gần bằng 1/5 tổng vốn hóa thị trường của dự án.
Vụ tấn công đã làm lộ điểm yếu nào tại Avici?
Avici phát hành thẻ tín dụng Visa có tài sản bảo đảm bằng USDC. Người dùng sẽ khoá stablecoin này vào hợp đồng thông minh và khi chi tiêu thì số dư sẽ giảm dần. Thẻ này do Third National phát hành, không phải trực tiếp từ Avici.
“Chỉ ví cá nhân của người dùng mới có thể rút tiền từ hợp đồng ký quỹ sau khi trừ đi số tiền đã chi tiêu”, công ty ghi rõ trong tài liệu chính thức, cho biết ai nắm giữ quyền kiểm soát.
Dù vậy vào ngày thứ Sáu, các vault đã bị rút sạch. Theo tracker theo dõi trực tiếp, đã có 653,548 USD bị rút ra khỏi hệ thống tại thời điểm viết bài.
Cơ chế tự lưu ký chỉ quy định ai là người không thể lấy tiền, nhưng lại không loại bỏ mọi con đường đặc quyền còn được mã hoá sẵn trong chương trình. Chính lỗ hổng này đã bị kẻ tấn công khai thác để rút tiền.
Các nhà nghiên cứu on-chain cho rằng kẻ tấn công đã gửi một gói chữ ký đặc biệt, tự đặt mình làm admin trên các tài khoản ký quỹ, rồi rút tiền ra. Avici hiện chưa xác nhận đây là phương thức đã được sử dụng.
Theo dõi chúng tôi trên X để cập nhật tin tức mới nhất ngay khi sự kiện xảy ra
Tại sao đây không phải là vụ hack kho bạc?
Mỗi khách hàng đều có hợp đồng ký quỹ riêng biệt nên số tiền bị rút ra từ từng tài khoản, không phải lấy hết từ một quỹ chung.
Điều này khác với các vụ tấn công trước, ví dụ vụ tấn công vào hệ thống quản trị trên Solana khi đó kẻ tấn công lấy 20 triệu USD chỉ trong một lần từ quỹ BONK DAO.
Các token liên quan thường chịu ảnh hưởng nặng nề sau những sự cố như thế này, do đó, giá AVICI token đã giảm đến gần 40%. Tương tự, sau sự cố bridge Midnight, giá token của dự án này cũng đã rơi về mức thấp kỷ lục vào tháng 07/2023.
Hiện Avici chỉ cho biết họ nhận thấy sự cố ảnh hưởng đến việc rút tiền từ thẻ, nhưng chưa có báo cáo chi tiết sau vụ việc.
Avici cũng chưa thông báo liệu các kho tiền còn lại có bị ảnh hưởng hay không, hoặc liệu quá trình thanh toán thẻ với Third National có gặp trục trặc gì không.
