Incident de sécurité sur la plateforme Avici
Une attaque en cours contre la plateforme de carte crypto basée sur Solana, Avici, aurait siphonné plus de 1 million de dollars des comptes de garantie des utilisateurs, entraînant une chute de son jeton AVICI à un niveau record. Selon des rapports, l’attaquant présumé a collecté 10 005,03 SOL, d’une valeur d’environ 1,07 million de dollars à 18h58 UTC, ainsi qu’environ 11 600 dollars en USDC et USDT.
Détails de l’attaque
L’analyse a été réalisée à partir des journaux de transactions de Solana et des données RPC recueillies pendant que l’attaque était toujours en cours. Le portefeuille a reçu son financement initial via deBridge à 13h40 UTC, lorsque 1,79 SOL est arrivé d’un autre réseau. Après être resté inactif pendant environ trois heures, l’adresse a effectué son premier appel impliquant les programmes d’Avici à 16h49:48 UTC.
Les journaux de transactions examinés par la publication ont montré le même processus en trois étapes à travers les comptes affectés.
Tout d’abord, le portefeuille a appelé SubmitSignatures via le programme d’autorisation d’Avici dans une transaction qui utilisait également le programme de vérification de signature Ed25519 de Solana. Ensuite, l’attaquant a appelé AddCollateralAdmin sur le programme de garantie d’Avici, enregistrant un administrateur supplémentaire pour le compte de l’utilisateur. Un dernier appel WithdrawCollateralAsset a ensuite transféré la garantie vers un compte contrôlé par l’attaquant.
Conséquences de l’attaque
Dans une transaction examinée, l’instruction de retrait a déplacé 2 346,77 USDT du compte de garantie d’un utilisateur. L’attaquant a également converti une partie des stablecoins collectés en SOL, y compris un échange qui a rapporté 209,76 SOL. Au moment du point de contrôle de la publication, le portefeuille avait signé 14 672 transactions, dont 2 344 avaient échoué.
Ses avoirs en SOL ont augmenté d’environ 2 595 jetons, valant alors environ 277 000 dollars, pendant une période de 11 minutes. L’analyste anonyme en chaîne STACC a également créé un tracker en direct pour les transferts affectés. Selon les chiffres cités par le tracker, 125 comptes expéditeurs avaient été identifiés, avec des transferts individuels allant d’environ 9 USDC à plus de 26 000 USDT.
Réponse d’Avici
Ni Avici ni une société de sécurité indépendante n’ont publié de rapport post-mortem identifiant comment l’attaquant a obtenu l’autorisation. Bien que la séquence de transactions montre comment les fonds ont été déplacés, elle n’établit pas si l’incident résulte d’un défaut de programme, de l’utilisation de références compromises, d’une autorité de signature exposée ou d’un autre échec.
Avici a reconnu l’incident dans un post sur X publié environ une heure et 53 minutes après la première transaction signalée impliquant ses programmes.
La société a ajouté qu’elle travaillait directement avec les partenaires concernés et fournirait des mises à jour une fois que plus d’informations seraient disponibles. Avici n’a pas qualifié l’incident d’exploitation, n’a pas confirmé combien avait été pris ni indiqué combien de clients étaient affectés.
Impact sur le marché
L’AVICI a chuté de 49,4 % en 24 heures pour atteindre 0,2175 $, alors que les rapports sur les retraits se propageaient, selon les données de CoinGecko. La vente a réduit la capitalisation boursière du jeton à environ 2,84 millions de dollars et a poussé son prix à un niveau record. Le volume des échanges a atteint environ 656 543 $ pendant la même période de 24 heures.
La plupart des échanges d’AVICI ont eu lieu via le market maker automatisé futarchy de MetaDAO, tandis que LBank, KCEX et MEXC ont représenté le reste de l’activité signalée. CoinGecko répertorie le prix record de l’AVICI à 7,56 $, atteint le 26 novembre 2025. Le bas du jour de l’incident a laissé le jeton environ 97 % en dessous de ce pic.
Contexte d’Avici
Avici Inc. est une entreprise américaine qui indique une adresse à San Francisco sur son site Web, tandis que sa politique de confidentialité l’identifie comme une société du Delaware. La plateforme fournit également des conditions de carte distinctes pour les clients américains, créant une exposition directe pour les utilisateurs américains éligibles de ses services de portefeuille et de carte sécurisée.
La société a levé 3,5 millions de dollars lors d’une vente de jetons MetaDAO plafonnée en octobre 2025. Le dossier de collecte de fonds de MetaDAO montre que 7 352 contributeurs ont engagé environ 34,23 millions de dollars, mais Avici a retourné environ 89,8 % des USDC promis après avoir appliqué le plafond de vente.
L’offre a fixé le prix de l’AVICI à 0,35 $ et a valorisé le projet à environ 4,52 millions de dollars sur une base entièrement diluée. Avici a émis 10 millions de jetons lors de la vente, représentant environ 77,5 % de son approvisionnement total de 12,9 millions de jetons.
