Platform kartu kripto berbasis Solana, Avici, kehilangan lebih dari $1 juta dari akun agunan penggunanya. Perkiraan kerugian pada pantauan 18:58 UTC mencapai 10.005,03 SOL atau setara $1,07 juta, ditambah aset senilai $11.600 dalam wujud USDC dan USDT. Sebanyak 125 akun pengirim teridentifikasi menjadi korban, dengan nominal kerugian bervariasi mulai dari $9 hingga melampaui $26.000 per akun.
Tiga Langkah Manipulasi Akses
Penyerang tidak mendobrak sistem, melainkan memanipulasi jalur otorisasi sah. Serangan berjalan dalam tiga langkah berulang. Pertama, pelaku memanggil perintah SubmitSignatures melalui program otorisasi Avici. Kedua, mengeksekusi AddCollateralAdmin untuk mendaftarkan dompet admin tambahan ke profil korban. Begitu akses duplikat didapat, langkah ketiga dieksekusi: WithdrawCollateralAsset yang mentransfer seluruh saldo aset agunan dari dompet korban langsung ke kantong peretas.
Untuk memuluskan operasi massal itu, dompet pelaku menandatangani 14.672 transaksi beruntun, walau 2.344 di antaranya berujung gagal.
Jeda Tiga Jam dan Respons Perusahaan
Aksi pengurasan aset disiapkan berjam-jam sebelumnya. Dompet penyerang menerima pendanaan awal 1,79 SOL dari jaringan lain lewat layanan deBridge pada pukul 13:40 UTC. Setelah mengantongi dana, alamat dompet dibiarkan tidak beraktivitas selama kurang lebih tiga jam sebelum eksekusi penarikan dimulai.
Avici baru mengakui insiden lewat sebuah pengumuman di X sekitar 1 jam 53 menit setelah transaksi pertama terdeteksi. Namun, perusahaan tidak menyebut kejadian itu sebagai eksploit, dan tidak mengonfirmasi total keseluruhan dana yang dicuri maupun jumlah nasabah yang terdampak.
Apa yang Belum Kita Ketahui
Penyebab pasti insiden belum diketahui. Belum jelas apakah celah masuk berasal dari kelemahan kode program, imbas kredensial yang bocor, atau kegagalan sistem internal lainnya. Satu hal yang dipastikan: rentetan kejadian murni terkait program agunan milik Avici sendiri, bukan akibat kerentanan pada jaringan Solana.
📌 Baca JugaHarta Karun Bandar Irlandia Kembali Mengalir - 500 BTC Masuk Coinbase Meski Kuncinya Hilang di Tempat Sampah
Kedua program Avici yang dimanipulasi ternyata dirancang agar bisa diperbarui dan sama-sama berbagi otoritas pembaruan tunggal - menunjukkan infrastruktur mereka tidak menggunakan akun multisig.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
