Un attaquant a vidé plus de 653 000 $ des coffres de collatéral des cartes d’Avici, une néobanque Solana dont la documentation affirmait pourtant que seul le wallet de l’utilisateur pouvait déplacer ces fonds.
Le token Avici (AVICI) a depuis chuté d’environ 40 % pour atteindre 0,24 $. La somme dérobée représente près d’un cinquième de sa capitalisation totale.
Ce que le hack d’Avici a compromis
Avici commercialise une carte de crédit Visa adossée à l’USDC. Les utilisateurs verrouillent le stablecoin dans un smart contract, et chaque dépense le débite. C’est Third National qui émet la carte, pas Avici.
« Seul le wallet de l’utilisateur peut retirer des fonds du smart contract d’entiercement après déduction des dépenses », indique la documentation de l’entreprise, précisant qui détient les clés.
Pourtant, vendredi, les coffres ont été vidés, un suivi en temps réel faisant état de 653 548 $ retirés au moment de la rédaction.
La conservation des fonds par l’utilisateur excluait certains accès, mais n’a pas éliminé toutes les voies privilégiées intégrées au programme. C’est cet angle mort qui a été exploité.
Des chercheurs on-chain affirment que l’attaquant aurait soumis un bundle de signatures sur mesure, serait parvenu à s’octroyer le statut d’admin sur les comptes d’entiercement, puis aurait procédé au retrait. Avici n’a pas confirmé cette méthode.
Suivez-nous sur X pour recevoir toute l’actualité en temps réel
Pourquoi ne s’agit-il pas d’un hack de trésorerie ?
Chaque client dispose d’un smart contract d’entiercement distinct. Ainsi, les fonds ont été vidés compte par compte. Il n’y avait pas de « pot commun » à vider.
Ce schéma rappelle des événements similaires, comme lorsqu’une attaque de gouvernance Solana a permis de dérober 20 millions de dollars à la trésorerie d’un DAO BONK en un seul coup.
Les tokens associés encaissent rarement ce type d’incidents sans conséquence, d’où la chute d’environ 40 % du token AVICI. De la même manière, une faille sur un bridge a fait plonger le token Midnight à un plus bas historique en juillet.
Avici s’est contenté d’indiquer avoir connaissance d’un problème affectant les retraits sur les soldes des cartes. Aucun rapport post-mortem n’a été publié à ce stade.
L’entreprise n’a pas précisé si les coffres restants étaient toujours accessibles, ni si le règlement des transactions avec Third National était impacté.
