Устаревший смарт-контракт стоил криптобанкам Avici и Tria больше миллиона долларов

На Solana всплыла неприятная история с криптокартами. Из-за уязвимости в старой версии контракта провайдера Rain злоумышленник вывел около $1,1 млн с нескольких платформ сразу.

Схема была простая до боли. Атакующий сначала вызывал функцию SubmitSignatures в программе авторизации Avici, затем AddCollateralAdmin в программе с коллатералом, а в конце WithdrawCollateralAsset — и выводил средства. По сути он назначал себя администратором чужих счетов и просто забирал деньги.

Больше всего досталось Avici: компания сообщила, что было похищено около $500 800 у 1 685 пользователей. У соседнего проекта Tria цифры скромнее, но тоже неприятные: потери превысили $430 000, затронув 636 пользователей.

Важный нюанс: под удар попали не личные кошельки, а именно контракты, куда падают деньги при пополнении карты. Инцидент затронул один смарт-контракт, а не кошельки пользователей — при пополнении карты средства уходят в отдельный контракт, который и оказался под угрозой.

Похищенное, конечно, не задержалось на кошельке атакующего. Украденные стейблкоины конвертировали в SOL, перевели между сетями и в итоге прогнали через Tornado Cash.

При этом реальный масштаб может быть больше заявленного. Прослеженные на блокчейне $1,1 млн превышают сумму убытков, раскрытую Avici и Tria — это намекает, что и другие программы на той же инфраструктуре могли пострадать, хотя их названия и потери пока не раскрыты.

Rain уже закрыла дыру: компания нашла проблему в устаревшей версии контракта карты и обновила все программы, где она ещё использовалась, после чего подозрительной активности не зафиксировано. Avici пообещала полный возврат средств пострадавшим и подала официальную жалобу в Центр приёма жалоб на интернет-преступления ФБР.

Токен AVICI на новостях не удержался: упал с суточного максимума около $0,43 до рекордного минимума в районе $0,217, после чего частично отыграл падение.

#Avici #Tria #Solana

💰Автоматический обмен