Avici-Hack erklärt: Was Nutzer jetzt über den Krypto-Karten-Vorfall wissen müssen

Am 28. August 2026 meldeten On-Chain-Beobachter, dass aus Avici-Konten für Kartenguthaben mehr als 600.000 US-Dollar abgezogen worden seien. Die frühen Schätzungen reichten von rund 600.000 bis über 1 Million US-Dollar. Spätere Berichte führten den Vorfall auf eine Schwachstelle in einer älteren Version eines Solana-Kartenvertrags zurück, den Avicis Kartenpartner Rain eingesetzt hatte. Die betroffenen Verträge sollen inzwischen aktualisiert worden sein. Die unterschiedlichen frühen Zahlen sind deshalb nicht automatisch als endgültiger Gesamtschaden zu verstehen. 49 50 53

Wichtig ist die Unterscheidung zwischen Avicis normalen selbstverwahrten Wallets und den separaten Verträgen, in denen Guthaben für die Kartenabwicklung lagen. Nach den späteren Angaben betraf der Vorfall vor allem diese Kartenverträge – nicht zwangsläufig die Wallet-Infrastruktur, mit der Nutzer andere Solana- oder EVM-Vermögenswerte hielten. 50 53

Wie Avici Kryptowährungen mit Visa-Zahlungen verknüpfte

Avici nutzte für seine Karte ein besichertes Modell, das eher einem durch Krypto hinterlegten Kreditrahmen als einem klassischen Bankkonto entspricht. Laut der Dokumentation lief der Vorgang grundsätzlich so ab:

1. Nutzer zahlten USDC in einen Loan-Escrow-Smart-Contract ein.
2. Aus dieser Einzahlung entstand ein US-Dollar-Kreditguthaben für die Karte.
3. Kartenzahlungen verringerten dieses Guthaben.
4. Die dafür eingesetzten USDC wurden anschließend – meist mit verzögerter Abrechnung – aus dem Kartenvertrag liquidiert. 35

Avici erklärte, der Sicherheitenvertrag liege auf einem EVM-Netzwerk, könne aber über automatisches Bridging auch Einzahlungen von Solana annehmen. Außerdem sei die Karten-Wallet von der Smart Wallet getrennt. Visa könne Geld demnach nur abziehen, wenn ein Kartenzahlungsvorgang nachgewiesen werde. 33

Genau diese Konstruktion erklärt den Reiz des Produkts – und seine Angriffsfläche. Nutzer konnten Krypto ausgeben, ohne das gesamte Vermögen einer zentralisierten Börse oder Bank zu überlassen. Gleichzeitig wurden Teile des Geldes in ein spezialisiertes, programmierbares Zahlungssystem verschoben. Daran waren Smart Contracts, Bridges, Kartenanbieter und Autorisierungsmechanismen beteiligt.

„Self-Custody“ bedeutete hier also nicht, dass jeder Schritt des Zahlungsprozesses gleich einfach oder unabhängig war. Es bedeutete vor allem, dass die Nutzerkontrolle nicht vollständig bei einem zentralen Verwahrer lag.

Was am 28. August zunächst bekannt war

Avici bestätigte zunächst ein Problem bei Abhebungen aus Kartenguthaben. Währenddessen beobachteten On-Chain-Analysten, wie Gelder in Adressen unter Kontrolle eines mutmaßlichen Angreifers flossen. Je nach Zeitpunkt und ausgewertetem Transaktionsfluss lagen die Berichte bei etwa 600.000 bis 653.000 US-Dollar; andere Auswertungen kamen später auf mehr als 1 Million US-Dollar. Diese Angaben können unterschiedliche Phasen oder separate Geldströme abbilden und sollten nicht einfach addiert werden. 49 51 54 58

Zu diesem Zeitpunkt war öffentlich nicht geklärt, ob die Ursache in einem Karten- oder Sicherheitenvertrag, einem kompromittierten Relay- oder Autorisierungsmechanismus, Passkeys, Session-Keys, Account Abstraction, delegierten Berechtigungen, Phishing oder einer anderen Komponente der Produktarchitektur lag.

Spätere Erklärung: Rain verweist auf einen älteren Solana-Vertrag

Eine spätere Aktualisierung schrieb Rain, dem Kartenherausgeber-Partner von Avici, die Entdeckung einer Schwachstelle in einer älteren Version des Solana-Kartenvertrags zu. Der Vertrag sei auch von einigen weiteren Programmen genutzt worden. Die relevanten Verträge wurden demnach bei allen betroffenen Projekten aktualisiert; weitere unautorisierte Aktivitäten seien zum Zeitpunkt des Berichts nicht festgestellt worden. 50 62

Avici erklärte außerdem, der Vorfall habe nur den separaten Solana-Vertrag betroffen, in dem Kartenguthaben nach einer Aufladung verwahrt wurden. Die selbstverwahrten Solana- und EVM-Wallets der Nutzer seien davon getrennt geblieben. 50

Eine nachfolgende Angabe nannte einen konkret abgeglichenen Verlust von 500.859,22 US-Dollar bei 1.685 Nutzern. Avici versprach, alle betroffenen Nutzer vollständig zu entschädigen. 53 Diese Zahl ist präziser als die ersten Live-Schätzungen aus den Blockchain-Daten. Dennoch sollte zwischen vorläufigen Angaben während eines laufenden Angriffs und einer später gemeldeten Abrechnung unterschieden werden.

Warum die Phishing-Berichte weiterhin relevant sind

Die Erklärung mit dem anfälligen Vertrag beseitigt ein zweites, davon unabhängiges Risiko nicht: Am selben Tag kursierten gefälschte Avici-Websites. Sie imitierten die Plattform und lockten Nutzer mit angeblichen Airdrops oder neuen Funktionen dazu, ihre Wallets zu verbinden und Transaktionen zu signieren. Berichte schrieben einer solchen Avici-Imitation Verluste von mehr als 600.000 US-Dollar zu. Zu diesem Zeitpunkt gab es öffentlich noch keine Belege für einen internen Avici-Einbruch. 2 4

Beide Szenarien schließen einander nicht automatisch aus. Eine Schwachstelle im Kartenvertrag kann Kartenguthaben gefährden, während eine separate Phishing-Kampagne Nutzer zum Signieren bösartiger Transaktionen verleitet. Ohne einen vollständigen Vorfallbericht, der betroffene Adressen, Verträge, Transaktionsinstruktionen und Zeitstempel miteinander abgleicht, wäre es voreilig, alle gemeldeten Verluste derselben Ursache zuzuschreiben.

Was weiterhin dokumentiert werden müsste

Der bisher verfügbare öffentliche Kenntnisstand lässt mehrere technische Fragen offen:

• Welche genaue Vertragsversion war verwundbar und unter welchen Adressen wurde sie eingesetzt?
• Welche Instruktion oder Transaktionsabfolge nutzte der Angreifer?
• Wurden Administratorrechte unbefugt registriert oder wurde ein anderer Autorisierungsweg missbraucht?
• Welche Konten und Guthaben waren vollständig betroffen?
• Wie wurde die Aktivität entdeckt, und wie schnell erfolgte die Aktualisierung der Verträge?
• Wie genau funktioniert die angekündigte Erstattung und welchen Umfang hat sie?
• Müssen Nutzer Passkeys, Sitzungen, delegierte Berechtigungen oder andere Wallet-Zugangsdaten erneuern?

Die spätere Zuordnung zu einer Schwachstelle im Rain-Kartenvertrag ist eine wichtige Erklärung für den Vorfall mit den Kartenguthaben. Daraus folgt jedoch nicht automatisch, dass sämtliche Avici-bezogenen Wallet-Abflüsse dieselbe Ursache hatten. Dafür wäre ein detaillierter und unabhängig überprüfbarer Post-Mortem-Bericht nötig.

Was betroffene Nutzer jetzt tun sollten

1. Verdächtige Links und betroffene Kartenverträge meiden

Interagieren Sie vorerst nicht über Links aus Direktnachrichten, Werbeanzeigen, Social-Media-Antworten oder angeblichen Airdrop-Mitteilungen mit Avici- oder Kartenverträgen. Verwenden Sie ausschließlich ein gespeichertes offizielles Webangebot oder einen unabhängig verifizierten Support-Kanal.

2. Eine kompromittierte Seed-Phrase nicht mit einem Approval-Problem verwechseln

Wenn Sie eine Recovery-Phrase eingegeben, einen privaten Schlüssel preisgegeben, eine nicht vertrauenswürdige Wallet-Erweiterung installiert oder eine unbekannte Transaktion signiert haben, sollten verbleibende Vermögenswerte über ein sauberes Gerät oder eine vertrauenswürdige Wallet-Umgebung in eine neu erstellte Wallet verschoben werden.

Das Widerrufen von Token-Berechtigungen repariert keine kompromittierte Seed-Phrase und keinen offengelegten Signaturschlüssel.

3. Berechtigungen in den jeweiligen Netzwerken prüfen

Bei EVM-Wallets sollten Sie Token-Allowances kontrollieren und unbekannte oder unbegrenzt erteilte Ausgabenberechtigungen widerrufen. Prüfen Sie außerdem verdächtige delegierte Berechtigungen oder Session-Keys für Account Abstraction, sofern Ihre Wallet diese unterstützt.

Bei Solana-Wallets sollten Sie die zuletzt signierten Transaktionen, verbundenen Anwendungen, unbekannten Delegierten und aktiven Sitzungen überprüfen. Solana verwendet nicht exakt dasselbe Berechtigungsmodell wie EVM-Netzwerke. Ein allgemeines Tool zum Widerrufen von Token-Allowances erfasst daher möglicherweise nicht jede relevante Autorisierung.

4. Beweise sichern

Bewahren Sie Wallet-Adressen, Transaktionssignaturen, verdächtige URLs, Screenshots, Zeitstempel sowie die Nachricht oder Anzeige auf, die zur Interaktion geführt hat. Diese Informationen können Avici, der Wallet-Anbieter oder Ermittler dabei unterstützen, Phishing von einem Vertragseingriff zu unterscheiden.

5. Mit Folge-Betrug rechnen

Signieren Sie keine angebliche „Verifizierung“, „Rückerstattung“ oder „Wiederherstellung“, die Ihnen ein unbekanntes Konto zusendet. Bekannte Opfer werden häufig anschließend von Betrügern kontaktiert, die sich als Support-Mitarbeiter oder Rückholservices ausgeben.

Was der Fall über Self-Custody zeigt

Self-Custody verändert das Risikomodell – sie beseitigt Risiken nicht. Nutzer vermeiden zwar die einseitige Kontrolle oder Insolvenzgefahr eines zentralen Verwahrers. Gleichzeitig können sie weiterhin Wallet-Software, Smart-Contract-Code, Bridges, Relays, Passkeys, delegierten Berechtigungen, Benutzeroberflächen, Kartenherausgebern und Abwicklungsprozessen ausgesetzt sein.

Der Unterschied zum Coldcard-Diebstahl von 2026 macht das deutlich. Damals wurden laut Berichten rund 594 BTC aus etwa 500 Wallets innerhalb von ungefähr 25 Minuten abgezogen. Ursache war ein Firmware-Problem, das die Zufälligkeit bei der Erzeugung von Wallet-Seeds schwächte – nicht ein Bruch der Bitcoin-Kryptografie. 30

Coldcard steht damit für ein Risiko in Hardware und Firmware. Avici zeigt eine andere Fehlerklasse: Ein Zahlungsprodukt kann die Kontrolle über eine allgemeine Wallet beim Nutzer belassen und zugleich Kartensicherheiten in ein spezialisiertes Vertragssystem mit eigenen Abhängigkeiten verschieben.

Die Lehre daraus lautet weder, dass Self-Custody grundsätzlich unsicher ist, noch dass zentrale Verwahrung automatisch sicherer wäre. Entscheidend ist die gesamte Transaktionskette. Vor der Nutzung einer selbstverwahrten Krypto-Karte sollten Nutzer klären, welche Vermögenswerte in ihrer normalen Wallet bleiben, welche in einen Karten- oder Escrow-Vertrag wandern, wer Abhebungen autorisieren kann, wie Vertragsupdates geregelt sind und was bei einem Ausfall des Kartenpartners oder Smart Contracts passiert.