加密银行项目Avici披露卡合约漏洞将全额退款
加密银行项目Avici称，发卡合作方Rain发现其与少数其他项目仍在使用的旧版Solana卡合约存在漏洞。相关程序已全部升级，暂未观察到新的未授权操作。
Avici对账显示1685名用户卡余额被划走，合计500859.22美元，承诺全额退还，并已向美国联邦调查局互联网犯罪投诉中心报案。公司强调被攻击的是充值后存放卡余额的独立合约，用户自托管的Solana与EVM钱包未被动用。Rain作为Visa会员、向多家新银行提供稳定币卡基础设施，声明已升级所有仍跑旧版合约的程序，聘请第三方取证，并称受影响用户将获补偿。同一套合约下的Tria等项目亦被研究人员标出被抽余额。
链上解剖与官方口径的差额在于攻击者总搬运。地址FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj于13:40 UTC经deBridge注入约1.79枚SOL、约190美元起步，16:49起与Avici相关程序交互。路径为SubmitSignatures、把自身写成抵押账户管理员的AddCollateralAdmin，再WithdrawCollateralAsset抽走余额；单笔样本曾划出2346.77枚USDT。18:58该地址持有约10005枚SOL另加约1.16万美元稳定币；19:02一笔转出整1万枚SOL，约107万美元，19:26掏空。资金兑成约102万美元USDC后跨链，约418至456枚ETH进入以太坊新地址，再于19:20至20:00前后打进Tornado Cash。该地址共签名约14672笔交易，失败2344笔。Avici单户中位损失约24美元，样本最大单户约5268美元。
早期监测把事件写成原生代币AVICI被黑、损失约102万美元，指的是攻击者把抽走的资产换成SOL再换成USDC与ETH，并非自托管钱包里的AVICI被直接盗走。代币价格仍被砸：24小时内最多跌约49.4%至约0.2175美元，相对2025年11月26日高点7.56美元回撤约97%。Avici曾在2025年10月经MetaDAO募资，认购封顶350万美元、完全稀释估值约451.5万美元。
Rain未说明旧合约部署了多久、为何未提前升级、攻击者如何定位到仍在使用旧版的程序。退款时间表也未公布。资金已进入混币器，链上追索转向交易所入金端。
市场机制上，买方是把稳定币打进卡余额合约以便刷Visa的用户，卖方是共享同一套过期发卡程序的基础设施商。攻击由授权校验缺陷驱动：第二次验签被错接到第一条指令，运行时把攻击者签名当成合法管理员。资金从用户卡余额流向攻击者代币账户，再经桥和混币器离场。受益方是能批量给自己加管理员的攻击地址，承压方是已把钱从自托管钱包挪进共享合约的持卡人，以及价格先跌的AVICI持仓；承诺退款把窟窿暂时移到项目与Rain的资产负债表上。
来源：公开信息
ABAB AI 解读
新银行把“自托管”写在广告上，把“可刷卡”写在产品上，两者中间必须有一座托管桥。Avici的桥是Rain的Solana卡余额合约：钱一充值，就离开用户私钥，进入共享程序。漏洞不在钱包，在这座桥的旧版本授权。攻击者花190美元过桥，给一千多个抵押账户写上自己当管理员，再一笔笔Withdraw。这是基础设施复用的代价——同一份过期字节码同时给Avici、Tria等品牌托底，一处过期，多家一起漏。
资本路径是先抽稳定币，再换成SOL聚合成整万枚，再换成USDC跨到以太坊，最后进Tornado Cash。1万枚SOL对应的约百万美元是多项目合计，不是Avici账本上的50.08万美元。差价说明Rain的旧合约是一条共享水管。Avici向FBI的IC3报案，是因为混币之后链上标签失效，身份要到Gate、Kraken、Coinbase一类入金口去对。代币腰斩是另一本账：市值对安全叙事计价，不管漏洞在不在自己仓库。
对标的是每一次“合作方合约过期仍在生产”的发卡和跨链桥事故。行业阶段是扩张中的控制失灵：Visa通道已经接到链上稳定币，升级纪律没有接到同一套发布流程。这不是新银行被攻破，是发卡中间件的旧接口还活着。
结构变化是技术替代不完全。自托管替代了平台保管用户钱包，没有替代刷卡所需的托管余额。机制是：支付网络要即时扣款，链上钱包做不到商户等待确认，于是余额必须预存进可被程序支配的合约；旧合约少验一次签，管理员就可以被伪造。退款承诺把技术债变成财务债，混币器把财务债变成执法债。
ABAB News · 认知定律
自托管止于充值进卡的那一步
共享中间件的过期版本，是多家一起漏的同一根管
退款承诺转移的是负债，不是已经混掉的币