Incidente de Seguridad en Avici
Un ataque en curso contra la plataforma de tarjetas criptográficas basada en Solana, Avici, ha drenado más de $1 millón de las cuentas de colateral de los usuarios, mientras que su token AVICI ha alcanzado un mínimo histórico. Según informes, el atacante ha recolectado 10,005.03 SOL, valorados en aproximadamente $1.07 millones a las 18:58 UTC, junto con aproximadamente $11,600 en USDC y USDT.
Detalles del Ataque
El análisis se basó en los registros de transacciones de Solana y datos de RPC recopilados mientras el ataque aún estaba en curso. La billetera recibió su financiación inicial a través de deBridge a las 13:40 UTC, cuando llegaron 1.79 SOL de otra red. Después de permanecer inactiva durante aproximadamente tres horas, la dirección realizó su primera llamada involucrando los programas de Avici a las 16:49:48 UTC.
Los registros de transacciones mostraron el mismo proceso de tres pasos en las cuentas afectadas:
- La billetera llamó a SubmitSignatures a través del programa de autorización de Avici en una transacción que también utilizó el programa de verificación de firma Ed25519 de Solana.
- A continuación, el atacante llamó a AddCollateralAdmin en el programa de colateral de Avici, registrando un administrador adicional para la cuenta del usuario.
- Una llamada final a WithdrawCollateralAsset luego transfirió el colateral a una cuenta controlada por el atacante.
En una transacción revisada, la instrucción de retiro movió 2,346.77 USDT de la cuenta de colateral de un usuario. El atacante también convirtió algunos de los stablecoins recolectados en SOL, incluyendo un intercambio que devolvió 209.76 SOL.
Reacciones y Consecuencias
Avici reconoció el incidente en una publicación en X aproximadamente una hora y 53 minutos después de la primera transacción reportada que involucraba sus programas.
«Estamos al tanto de un problema que afecta los retiros de saldo de la tarjeta y estamos monitoreando la situación de cerca.»
La empresa agregó que estaba trabajando directamente con socios relevantes y proporcionaría actualizaciones una vez que hubiera más información disponible. Sin embargo, no calificó el incidente como un exploit, no confirmó cuánto se había tomado ni indicó cuántos clientes se vieron afectados.
Los usuarios habían reportado saldos faltantes en las redes sociales antes de que Avici publicara su declaración. Un usuario notablemente dijo que su saldo completo de Avici había sido drenado mientras esperaba información del proyecto.
Impacto en el Token AVICI
AVICI cayó un 49.4% en 24 horas a $0.2175 a medida que se difundían los informes de los retiros, según datos de CoinGecko. La venta redujo la capitalización de mercado del token a aproximadamente $2.84 millones y empujó su precio a un mínimo histórico. El volumen de comercio alcanzó aproximadamente $656,543 durante el mismo período de 24 horas.
La mayor parte del comercio de AVICI ocurrió a través del creador de mercado automatizado futarchy de MetaDAO, mientras que LBank, KCEX y MEXC representaron la actividad reportada restante. CoinGecko lista el máximo histórico de AVICI en $7.56, alcanzado el 26 de noviembre de 2025. El mínimo del día del incidente dejó al token aproximadamente un 97% por debajo de ese pico.
Conclusiones y Futuro de Avici
Avici describe su producto como una billetera de autocustodia conectada a una tarjeta de crédito Visa asegurada. Sin embargo, la capacidad reportada de agregar otro administrador y eliminar colateral no gastado plantea preguntas sobre cómo los controles de autorización de Avici hacen cumplir su modelo de autocustodia publicitado.
La empresa recaudó $3.5 millones a través de una venta de tokens de MetaDAO con límite en octubre de 2025. El récord de recaudación de fondos de MetaDAO muestra que 7,352 contribuyentes comprometieron aproximadamente $34.23 millones, pero Avici devolvió aproximadamente el 89.8% del USDC prometido después de aplicar el límite de venta.
