یک آسیبپذیری در یکی از قراردادهای قدیمی کارتهای Rain، حدود ۱.۱ میلیون دلار از چند برنامه بر بستر سولانا به سرقت برد؛ از جمله ۵۰۰,۸۰۰ دلار از ۱,۶۸۵ کاربر Avici، که همین امر توکن AVICI این نوبانک را تا ۴۹ درصد کاهش داد.
توکن AVICI — متعلق به نوبانکی با حضانت شخصی (Self-custodial) که به کاربران اجازه میدهد کریپتوی خود را از طریق کارت اعتباری متصل به ویزا خرج کنند — از اوج ۲۴ ساعته ۰.۴۳ دلار به پایینترین حد تاریخی ۰.۲۱۷ دلار رسید، اما در زمان نگارش این گزارش تا حدود ۰.۳۷۸ دلار بازیابی شد.
نوبانک کریپتویی دیگری به نام Tria گزارش داد ۶۳۶ کاربرش تحت تأثیر قرار گرفتهاند که منجر به خسارتی بیش از ۴۳۰,۰۰۰ دلار شده است. این نوبانک تعهد داد تمام خسارت کاربران را جبران کند، حتی با وجود اینکه توکن آن نیز در مقطعی بیش از ۱۰ درصد افت کرد.
آویسی (Avici) اعلام کرد این حمله محدود به یک قرارداد سولانا بود که وجوه را پس از شارژ کارت توسط مشتریان نگهداری میکرد. کیفپولهای غیرامانی آن روی سولانا و شبکههای سازگار با اتریوم آسیب ندیدهاند و شرکت تأکید کرد موجودی تمام کارتهای متأثر بازپرداخت خواهد شد.
مجموعه Rain اعلام کرد سامانههای پایش آن آسیبپذیری موجود در نسخه قدیمی قرارداد مورد استفاده Avici و تعداد کمی از برنامههای دیگر را شناسایی کردهاند. این مجموعه تمام برنامههایی را که از آن نسخه استفاده میکردند ارتقا داده و هیچ فعالیت غیرمجاز دیگری گزارش نکرده است.
شرایط و قوانین Avici شرکت Third National را به عنوان صادرکننده کارت معرفی میکند، در حالیکه Rain به عنوان عضو اصلی ویزا، زیرساخت کارتهای استیبلکوینی را ارائه میدهد.
دادههای تراکنشها نشان میدهد مهاجم بارها یک مجوز امضاشده را ارسال کرده، خود را به عنوان مدیر (Administrator) به حسابهای وثیقه فردی کارتها اضافه کرده و موجودی آنها را برداشت کرده است. استیبلکوینهای سرقتشده به سولانا (SOL) تبدیل، به اتریوم منتقل و در نهایت از طریق میکسر کریپتویی تورنادو کش (Tornado Cash) ارسال شدهاند.
تفاوت بین حدود ۱.۱ میلیون دلار ردگیریشده روی شبکه و خسارت گزارششده توسط Avici نشان میدهد برنامههای دیگری که از زیرساخت Rain استفاده میکردند نیز مورد حمله قرار گرفتهاند.
هیچیک از این دو شرکت، آن برنامهها را معرفی نکرده و میزان دقیق خسارت هر کدام را افشا نکردهاند.
این حادثه خلأهای مربوط به نحوه انتقال حضانت (Custody handoff) را در برخی کارتهای اعتباری کریپتویی غیرامانی آشکار میکند؛ چرا که کاربران بر پول نگهداریشده در کیفپولهای Avici کنترل داشتند، اما وجوه شارژشده برای خرجکردن به یک قرارداد شخص ثالث منتقل میشد.
این تمایز ساختاری اهمیت بیشتری پیدا کرده است، زیرا حجم خرجکردن از طریق کارتهای کریپتویی شناساییشده با رشدی بیش از سه برابری در ماه جولای به ۱.۰۴ میلیارد دلار رسیده و استیبلکوینها تأمینکننده ۷۰ درصدِ بیش از ۱۰ میلیون تراکنش بودهاند.
مجموعه Avici اعلام کرد گزارشی به مرکز شکایت از جرایم اینترنتی پلیس فدرال آمریکا (FBI) ارسال کرده است. هنوز مشخص نیست بازپرداخت خسارتها چه زمانی انجام میشود یا منابع مالی آن چگونه تأمین خواهد شد.
منبع: Coindesk
