Sorotan
- Rain, mitra infrastruktur penerbit kartu milik Avici, mengidentifikasi kerentanan pada kontrak kartu Solana yang berdampak ke 1.685 pengguna Avici dan saldo senilai $500.859.
- Celah ini ada pada versi kontrak yang menurut pengakuan Rain juga dipakai oleh "sejumlah kecil program lain".
- Pengungkapan ini muncul setelah eksploitasi aktif beberapa hari sebelumnya yang menguras lebih dari $1 juta dari pengguna Avici lewat rangkaian tiga panggilan kontrak.
- Kedua program on-chain Avici ternyata berbagi satu akun standar yang sama untuk otoritas upgrade, alih-alih memakai multisig — inilah akar masalah yang ditemukan tim investigasi.
- Token AVICI anjlok 49,4% dalam 24 jam saat serangan sebelumnya terjadi, dan pengungkapan skala dampak ini berpotensi memicu sorotan baru terhadap token maupun postur keamanan platform.
Rain, penyedia infrastruktur pembayaran stablecoin yang menjadi tulang punggung kartu Avici yang terhubung ke jaringan Visa dan Mastercard, mengungkapkan bahwa kerentanan pada salah satu versi kontrak kartu Solana miliknya berdampak ke 1.685 pengguna Avici serta saldo akun senilai $500.859. Wu Blockchain melaporkan pengungkapan ini, sekaligus mencatat bahwa Avici mengonfirmasi versi kontrak yang bermasalah tersebut juga dipakai oleh sejumlah kecil program lain di luar platformnya sendiri.
Pengungkapan yang Menyusul Eksploitasi Aktif
Pengungkapan cakupan ini muncul hanya sepekan lebih setelah Avici, platform kartu kripto dan kolateral berbasis Solana, mengalami serangan aktif yang menguras lebih dari $1 juta dari akun penggunanya. Tim investigasi menelusuri jejak eksploitasi ke rangkaian langkah spesifik: penyerang memanggil fungsi SubmitSignatures pada program otorisasi Avici, lalu memanggil AddCollateralAdmin pada program kolateral, sebelum akhirnya mengeksekusi WithdrawCollateralAsset untuk menarik dana keluar. Analis on-chain mengaitkan rangkaian ini dengan sekitar 125 akun pengirim berbeda, dengan nilai transfer individual berkisar dari sekitar $9 hingga lebih dari $26.000. Avici baru mengonfirmasi pelanggaran ini secara publik hampir dua jam setelah pencurian pertama terdeteksi, sementara gelombang situs phishing terpisah yang menyamar sebagai platform ini turut menggondol lebih dari $600.000 lewat penipuan paralel di periode yang sama.
Akar Masalah: Otoritas Upgrade yang Dibagi Bersama
Kelemahan struktural yang disorot tim investigasi adalah kedua program on-chain Avici sama-sama bisa di-upgrade, tapi menggunakan akun Solana standar yang sama untuk izin upgrade — bukan lewat multisig. Titik kendali tunggal inilah yang membuat penyerang bisa naik level dari sekadar panggilan pengiriman tanda tangan menjadi otoritas penarikan dana langsung. Angka yang baru diungkap Rain — 1.685 pengguna terdampak dan saldo $500.859 — menunjukkan jendela eksposur ternyata lebih lebar dari sekitar $1 juta yang awalnya dikonfirmasi hilang, mencakup akun-akun yang dananya sempat berisiko meski tidak semuanya benar-benar terkuras.
Dampak ke Pasar dan Ekosistem
Token AVICI sebelumnya sudah anjlok 49,4% dalam 24 jam saat eksploitasi awal terjadi, turun ke kisaran $0,2175 dengan kapitalisasi pasar mendekati $2,84 juta — level yang menyisakan sedikit ruang untuk kepercayaan pulih dengan cepat. Karena infrastruktur Rain dilaporkan juga menopang produk kartu di luar Avici, pengungkapan ini memunculkan pertanyaan yang lebih besar bagi ceruk kartu-dan-stablecoin di Solana: berapa banyak penerbit lain yang memakai versi kontrak yang sama, dan apakah risiko infrastruktur bersama semacam ini butuh standar audit tersendiri, terpisah dari lapisan aplikasi yang dibangun di atasnya.
Apa Selanjutnya
Avici dan Rain belum memberi kepastian apakah pengguna terdampak akan mendapat ganti rugi penuh, atau kapan kontrak yang sudah ditambal dengan otoritas upgrade berbasis multisig akan digulirkan ke seluruh program yang bergantung padanya. Penanda konkret berikutnya yang perlu dipantau adalah apakah platform lain yang memakai versi kontrak Rain yang sama turut mengonfirmasi eksposur mereka sendiri, serta apakah ekosistem infrastruktur kartu Solana secara lebih luas akhirnya bergerak menjadikan otoritas upgrade berbasis multisig sebagai standar keamanan wajib setelah insiden ini.
Baca juga: Post-Mortem MANTRA: Eksploitasi 20 Agustus Pindahkan 720,9 Juta Token
