Avici遭攻击 Solana(SOL)卡用户损失超100万美元

抵押账户被卷走超100万美元

基于Solana的加密支付卡平台Avici正在遭受一次仍在进行中的攻击,链上交易数据显示,用户抵押账户已被卷走超过100万美元——事件发生时我们的链上监控仍在实时追踪相关交易。疑似攻击者的钱包在13:40(UTC)首次通过跨链桥deBridge获得资金,1.79枚SOL从另一条网络转入,随后钱包静默了约三个小时,直到16:49:48(UTC)首次调用Avici的程序。链上记录显示,此后受影响账户上重复出现同一套三步操作:先通过Avici的授权程序与Solana的Ed25519签名验证程序发起SubmitSignatures调用,再通过AddCollateralAdmin调用在用户的抵押账户上注册一名额外的管理员,最后以WithdrawCollateralAsset调用将抵押资产直接划入攻击者控制的地址。

我们核查到的一笔提现从单一用户账户转出了2,346.77枚USDT;攻击者在过程中还陆续把部分稳定币换成SOL,其中一笔兑换即回收209.76枚SOL。截至18:58(UTC)的检查点,该钱包持有10,005.03枚SOL,价值约107万美元,另有约11,600美元的USDC和USDT;在短短11分钟内,其持仓增加了约2,595枚SOL,约合27.7万美元。该地址累计签署了14,672笔交易,其中2,344笔失败。匿名链上分析师STACC搭建的实时追踪器识别出125个出金账户,单笔转账规模从约9枚USDC到超过26,000枚USDT不等。

在首笔被报告的交易发生约一小时53分钟后,Avici在X上发帖承认了此事,称“我们已知晓影响卡余额提现的问题,正在密切监控情况”,并表示正与相关合作方直接沟通。但公司没有称此事件为漏洞攻击,也未确认损失金额或受影响客户数量。值得注意的是,两个受影响的程序均为可升级程序,且共用同一个升级权限——那是一个普通账户,而非多签设置——不过目前尚无证据表明正是该权限促成了这些提现。此次事件只涉及Avici的卡抵押与授权程序;尚无任何报告指出layer-1网络本身存在缺陷。

钓鱼网站开辟第二战线

与链上攻击并行的另一套骗局加重了损失:假冒Avici的钓鱼网站已从用户处骗取超过60万美元。钓鱼页面诱导受害者把加密钱包连接到这家新银行机构网站的仿冒版本上,攻击者由此获得动用余额所需的权限。Avici一贯以“自托管钱包加受担保Visa信用卡”作为卖点,其在苹果App Store的应用介绍中声称用户始终掌控资产、公司绝不代管资金——而如今“可以添加管理员并直接提取抵押资产”这一 reported 能力,让这一承诺受到质疑。

AVICI代币首当其冲承受了事件的冲击。本交易时段早些时候,它一度下跌38.54%至0.2728美元;最新读数显示其24小时跌幅达49.4%,报0.2175美元,创下历史新低,较2025年11月26日创下的7.56美元历史高点已缩水约97%。其市值压缩至约284万美元,24小时成交量约656,543美元,其中大部分经由MetaDAO的futarchy自动做市商完成——这个dApp同时也是该项目最初募资的平台——剩余部分则分布在LBank、KCEX和MEXC。

Avici Inc.在其官网列出的地址位于旧金山,注册主体为特拉华州公司,这意味着符合条件的美国卡用户直接暴露在风险之中。该项目于2025年10月通过MetaDAO设定上限的代币销售募集了350万美元:7,352名参与者合计认购约3,423万美元,触及上限后约89.8%的资金被退回;AVICI定价0.35美元,对应全稀释估值约452万美元。其卡支付通道依赖合作方Rain——后者为Visa和万事达联名发卡提供稳定币支付基础设施;Avici与Rain均未表示任何合作方系统遭到入侵。

授权机制面临审视

把抵押资产被卷走与钓鱼攻势放在一起看,事件勾勒出一条清晰的脉络:Solana生态中的支付类应用正在授权层遭到打击,而非共识层。最关键的原始材料是Avici自己在X上的声明——它只确认了卡余额提现问题,没有提供任何事后复盘;也没有独立安全公司确认究竟是程序缺陷、凭证泄露,还是暴露的私钥让攻击者的调用得以通过。行业数据指向同样的方向——Hacken的一份报告显示,2026年第二季度约7.64亿美元被盗资产中,88.3%源于密钥、签名者或基础设施被攻破。SOL自身过去24小时下跌4.6%,而网络上升级权限的治理问题——不久前Kraken在最后时刻的投票转向将去通胀提案推过67%支持率时曾成为焦点——如今面临更严峻的考验。