加密銀行項目Avici披露卡合約漏洞將全額退款
加密銀行項目Avici稱，髮卡合作方Rain發現其與少數其他項目仍在使用的舊版Solana卡合約存在漏洞。相關程序已全部升級，暫未觀察到新的未授權操作。
Avici對賬顯示1685名用戶卡餘額被划走，合計500859.22美元，承諾全額退還，並已向美國聯邦調查局互聯網犯罪投訴中心報案。公司強調被攻擊的是充值後存放卡餘額的獨立合約，用戶自託管的Solana與EVM錢包未被動用。Rain作爲Visa會員、向多家新銀行提供穩定幣卡基礎設施，聲明已升級所有仍跑舊版合約的程序，聘請第三方取證，並稱受影響用戶將獲補償。同一套合約下的Tria等項目亦被研究人員標出被抽餘額。
鏈上解剖與官方口徑的差額在於攻擊者總搬運。地址FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj於13:40 UTC經deBridge注入約1.79枚SOL、約190美元起步，16:49起與Avici相關程序交互。路徑爲SubmitSignatures、把自身寫成抵押賬戶管理員的AddCollateralAdmin，再WithdrawCollateralAsset抽走餘額；單筆樣本曾劃出2346.77枚USDT。18:58該地址持有約10005枚SOL另加約1.16萬美元穩定幣；19:02一筆轉出整1萬枚SOL，約107萬美元，19:26掏空。資金兌成約102萬美元USDC後跨鏈，約418至456枚ETH進入以太坊新地址，再於19:20至20:00前後打進Tornado Cash。該地址共簽名約14672筆交易，失敗2344筆。Avici單戶中位損失約24美元，樣本最大單戶約5268美元。
早期監測把事件寫成原生代幣AVICI被黑、損失約102萬美元，指的是攻擊者把抽走的資產換成SOL再換成USDC與ETH，並非自託管錢包裏的AVICI被直接盜走。代幣價格仍被砸：24小時內最多跌約49.4%至約0.2175美元，相對2025年11月26日高點7.56美元回撤約97%。Avici曾在2025年10月經MetaDAO募資，認購封頂350萬美元、完全稀釋估值約451.5萬美元。
Rain未說明舊合約部署了多久、爲何未提前升級、攻擊者如何定位到仍在使用舊版的程序。退款時間表也未公佈。資金已進入混幣器，鏈上追索轉向交易所入金端。
市場機制上，買方是把穩定幣打進卡餘額合約以便刷Visa的用戶，賣方是共享同一套過期髮卡程序的基礎設施商。攻擊由授權校驗缺陷驅動：第二次驗籤被錯接到第一條指令，運行時把攻擊者簽名當成合法管理員。資金從用戶卡餘額流向攻擊者代幣賬戶，再經橋和混幣器離場。受益方是能批量給自己加管理員的攻擊地址，承壓方是已把錢從自託管錢包挪進共享合約的持卡人，以及價格先跌的AVICI持倉；承諾退款把窟窿暫時移到項目與Rain的資產負債表上。
來源：公開信息
ABAB AI 解讀
新銀行把“自託管”寫在廣告上，把“可刷卡”寫在產品上，兩者中間必須有一座託管橋。Avici的橋是Rain的Solana卡餘額合約：錢一充值，就離開用戶私鑰，進入共享程序。漏洞不在錢包，在這座橋的舊版本授權。攻擊者花190美元過橋，給一千多個抵押賬戶寫上自己當管理員，再一筆筆Withdraw。這是基礎設施複用的代價——同一份過期字節碼同時給Avici、Tria等品牌託底，一處過期，多家一起漏。
資本路徑是先抽穩定幣，再換成SOL聚合成整萬枚，再換成USDC跨到以太坊，最後進Tornado Cash。1萬枚SOL對應的約百萬美元是多項目合計，不是Avici賬本上的50.08萬美元。差價說明Rain的舊合約是一條共享水管。Avici向FBI的IC3報案，是因爲混幣之後鏈上標籤失效，身份要到Gate、Kraken、Coinbase一類入金口去對。代幣腰斬是另一本賬：市值對安全敘事計價，不管漏洞在不在自己倉庫。
對標的是每一次“合作方合約過期仍在生產”的髮卡和跨鏈橋事故。行業階段是擴張中的控制失靈：Visa通道已經接到鏈上穩定幣，升級紀律沒有接到同一套發佈流程。這不是新銀行被攻破，是髮卡中間件的舊接口還活着。
結構變化是技術替代不完全。自託管替代了平臺保管用戶錢包，沒有替代刷卡所需的託管餘額。機制是：支付網絡要即時扣款，鏈上錢包做不到商戶等待確認，於是餘額必須預存進可被程序支配的合約；舊合約少驗一次籤，管理員就可以被僞造。退款承諾把技術債變成財務債，混幣器把財務債變成執法債。
ABAB News · 認知定律
自託管止於充值進卡的那一步
共享中間件的過期版本，是多家一起漏的同一根管
退款承諾轉移的是負債，不是已經混掉的幣