加密銀行Avici遭利用約102萬美元被轉走

鏈上監測顯示，與Avici相關的地址轉出1萬枚SOL，兌成約102萬美元USDC後再跨鏈換成約418枚ETH，資金被追蹤至混幣協議存款地址。

項目方口徑與監測數字不完全重合。Avici稱漏洞出在髮卡方Rain一條過時的Solana合約，而非自有代碼；受影響的是用戶給Visa卡充值的獨立餘額合約，自託管錢包未動。對賬爲1685名用戶、卡餘額被取走500859.22美元，承諾全額賠付，並已向聯邦調查局網絡犯罪投訴中心報案。Rain稱監控發現少量程序仍跑舊版合約，已全部升級。鏈上同一攻擊地址在約24分鐘內轉出整整1萬枚SOL後清空，金額按當時價格約107萬美元；其後拆分並進入兌換與跨鏈。代幣AVICI盤中一度跌約三成至五成。雙方未說明舊合約部署多久、爲何未及時升級、攻擊者如何定位。

被掏的是卡側託管餘額，不是結算網絡本身。賠付承諾把窟窿從用戶改到項目與髮卡方資產負債表；資金若已進入混幣存款，追回窗口按小時縮小。交易所熱錢包特徵地址曾接到拆分後的SOL，是否完成凍結決定變現速度。

市場機制上，這是卡餘額合約被抽空後的信任折價，不是公鏈停機。買方是做空AVICI和迴避同類“鏈上新銀行”的資金，賣方是尚未退出的持幣者和等待賠付的持卡人。資金從用戶卡餘額進入攻擊地址，再經穩定幣與跨鏈離開Solana記賬。受益方是能快速標記地址的監控與交易所風控，承壓方是把充值合約當銀行賬戶用的用戶，以及把Rain舊程序當基礎設施的其他集成方。賠付能補數字，補不回“升級密鑰長期未動、舊版仍在跑”的運維記錄。

補充口徑上，項目強調自託管未失竊，把事故邊界畫在髮卡合約；鏈上總量大於其對賬的卡餘額，差額來自路徑上的其他敞口或計價時點。

來源：公開信息