Avici : comment des fonds de cartes crypto ont été siphonnés

L’incident Avici a commencé le 28 août 2026, avec des signalements faisant état de plus de 600 000 dollars retirés de comptes servant de garantie aux cartes. Les premières estimations allaient d’environ 600 000 dollars à plus d’un million, au fil du suivi des transactions sur la blockchain. Des informations publiées ensuite indiquent que Rain, le partenaire d’Avici pour l’émission des cartes, a identifié une vulnérabilité dans une ancienne version d’un contrat de carte Solana et que les contrats concernés ont été mis à niveau. Les premières estimations ne doivent donc pas être considérées automatiquement comme le montant final des pertes. 49 50 53

La distinction essentielle concerne les portefeuilles ordinaires détenus en autonomie par les utilisateurs et les contrats séparés utilisés pour gérer les soldes des cartes. Selon les informations disponibles, l’incident a touché ces derniers, et non nécessairement l’infrastructure de portefeuille utilisée pour conserver d’autres actifs sur Solana ou sur des réseaux EVM. 50 53

Comment Avici reliait les cryptomonnaies aux paiements Visa

Avici proposait un modèle de carte garantie par des actifs numériques, plutôt qu’un compte bancaire classique. D’après sa documentation :

1. l’utilisateur déposait des USDC dans un contrat intelligent d’entiercement lié à un prêt ;
2. ce dépôt créait un solde de crédit en dollars pour la carte ;
3. chaque paiement diminuait ce solde ;
4. les USDC correspondant aux dépenses étaient ensuite liquidés depuis le contrat, généralement avec un délai de règlement d’un à deux jours, voire d’une semaine. 35

La documentation d’Avici précisait que le contrat de garantie était déployé sur un réseau EVM, tout en pouvant recevoir des dépôts provenant de Solana grâce à un pontage automatique. Elle indiquait aussi que le portefeuille de la carte était distinct du portefeuille intelligent et que Visa ne pouvait retirer des fonds qu’en apportant la preuve d’une dépense par carte. 33

Cette architecture explique à la fois l’intérêt du produit et ses risques. Les utilisateurs pouvaient dépenser en s’appuyant sur leurs cryptomonnaies sans transférer l’ensemble de leurs actifs à une banque ou à une plateforme d’échange centralisée. En contrepartie, les fonds entraient dans un système spécialisé et programmable faisant intervenir des contrats intelligents, des mécanismes de pontage, l’infrastructure de l’émetteur de cartes et des processus d’autorisation des transactions.

L’expression « conservation autonome » ne signifie donc pas que chaque élément de la chaîne de paiement est simple, indépendant ou exempt de risque.

Ce qui s’est passé, selon les informations publiées

Les premiers signalements : des retraits inexpliqués

Le 28 août, Avici a reconnu un problème affectant les retraits des soldes de cartes, tandis que des observateurs de la blockchain signalaient des transferts vers des adresses contrôlées par un attaquant. Les premiers comptes rendus estimaient le montant siphonné à environ 600 000 à 653 000 dollars. D’autres analyses ont ensuite suivi plus d’un million de dollars dans le portefeuille soupçonné d’appartenir à l’attaquant. Ces chiffres peuvent correspondre à des étapes ou à des flux différents et ne doivent pas être additionnés sans précaution. 49 51 54 58

À ce stade, les informations publiques ne permettaient pas de déterminer avec certitude si la cause était :

• une faille dans le contrat de carte ou de garantie ;
• une compromission du mécanisme d’autorisation ou de relais ;
• un problème lié à l’abstraction de compte ou à l’enregistrement d’un administrateur ;
• une campagne de phishing ;
• ou une autre composante de l’architecture du produit.

La mise à jour de Rain : une ancienne version du contrat Solana

Une mise à jour ultérieure a attribué l’incident à la découverte, par Rain, d’une vulnérabilité dans une ancienne version du contrat de carte Solana utilisé par Avici et par quelques autres programmes. Les contrats concernés auraient depuis été mis à niveau et aucune nouvelle activité non autorisée n’aurait été détectée au moment de cette annonce. Le même compte rendu indique que l’incident était limité au contrat Solana distinct stockant les soldes de cartes après leur approvisionnement, tandis que les portefeuilles Solana et EVM détenus en autonomie par les utilisateurs restaient séparés. 50 62

Un compte rendu ultérieur a fait état d’une perte réconciliée de 500 859,22 dollars touchant 1 685 utilisateurs, Avici promettant de rembourser intégralement les personnes concernées. 53 Ce chiffre est plus précis que les estimations réalisées en temps réel sur la chaîne, mais il faut continuer à distinguer les estimations initiales d’une attaque en cours du montant réconcilié annoncé par la suite.

Pourquoi les signalements de phishing restent importants

L’explication fondée sur une vulnérabilité de contrat n’efface pas le risque distinct du phishing. Le 28 août, des signalements faisaient état de faux sites imitant Avici et utilisant de prétendus airdrops ou des fonctionnalités de la plateforme pour inciter les utilisateurs à connecter leur portefeuille et à autoriser des transactions malveillantes. Ces comptes rendus attribuaient plus de 600 000 dollars de pertes à un site d’hameçonnage ressemblant à Avici, tout en indiquant qu’aucune preuve publique d’une compromission interne d’Avici n’était alors disponible. 2 4

Les deux explications ne sont pas forcément incompatibles. Une vulnérabilité de contrat peut avoir touché les comptes liés aux soldes de cartes, tandis qu’une campagne d’usurpation distincte peut avoir dépouillé des utilisateurs ayant signé des transactions malveillantes. En l’absence d’un rapport complet reliant les adresses affectées, les contrats, les instructions de transaction et les horodatages, il serait imprudent de supposer que toutes les pertes signalées ont la même origine.

Ce qu’il reste à documenter

Le dossier public disponible laisse encore plusieurs questions techniques ouvertes, notamment :

• la version précise du contrat vulnérable et ses adresses de déploiement ;
• l’instruction ou la séquence de transactions exploitée ;
• la possibilité qu’un attaquant ait obtenu des privilèges d’administrateur ou abusé d’un autre mécanisme d’autorisation ;
• la liste complète des comptes et des soldes touchés ;
• la manière dont l’activité a été détectée et le délai nécessaire pour mettre les contrats à niveau ;
• la procédure et le périmètre des remboursements ;
• la nécessité éventuelle de renouveler les clés d’accès, les sessions, les autorisations déléguées ou les identifiants de portefeuille.

L’attribution ultérieure à Rain constitue une explication importante de l’incident touchant les soldes de cartes. Elle ne permet toutefois pas d’affirmer que tous les retraits associés à Avici proviennent de cette même vulnérabilité. Un rapport d’analyse détaillé, publiquement vérifiable et idéalement examiné par des tiers serait nécessaire pour trancher cette question.

Que doivent faire les utilisateurs concernés ?

1. Cesser d’utiliser les liens et contrats suspects

N’interagissez pas avec Avici ou avec des contrats liés aux cartes depuis un lien reçu par message privé, dans une publicité, dans une réponse sur les réseaux sociaux ou dans une annonce d’airdrop. Utilisez un domaine officiel enregistré dans vos favoris ou un canal d’assistance vérifié indépendamment, le temps que les détails de la remédiation soient confirmés.

2. Faire la différence entre une autorisation douteuse et une clé compromise

Si vous avez saisi une phrase de récupération, exposé une clé privée, installé une extension de portefeuille non fiable ou signé une transaction inconnue, transférez les actifs restants vers un portefeuille nouvellement créé, depuis un appareil ou un environnement de portefeuille sain. Révoquer des autorisations ne répare pas une phrase de récupération ou une clé de signature compromise.

3. Vérifier les permissions sur chaque réseau concerné

Pour les portefeuilles EVM, examinez les allowances de jetons et supprimez les autorisations de dépense inconnues ou illimitées. Vérifiez également les clés de session liées à l’abstraction de compte et les autorisations déléguées lorsque le portefeuille prend en charge ces fonctions.

Pour les portefeuilles Solana, consultez les transactions récemment signées, les applications connectées, les délégations inconnues et les sessions actives. Solana n’utilise pas exactement le même modèle d’autorisation que les réseaux EVM : un outil générique de révocation des autorisations de jetons peut donc ne pas détecter tous les accès pertinents.

4. Conserver les preuves

Enregistrez les adresses de portefeuille, les signatures de transaction, les URL suspectes, les captures d’écran, les horaires ainsi que le message ou la publicité qui vous a conduit à interagir avec le site. Ces éléments peuvent aider le fournisseur de portefeuille, l’assistance Avici authentifiée ou les enquêteurs à distinguer un phishing d’un incident affectant un contrat.

5. Se méfier des escroqueries qui suivent l’incident

Ne signez aucune transaction de « vérification », de « remboursement » ou de « récupération » envoyée par un compte non sollicité. Les victimes connues deviennent souvent la cible d’imposteurs qui prétendent pouvoir restituer les fonds volés.

Ce que l’affaire Avici révèle sur la conservation autonome

La conservation autonome modifie le modèle de risque ; elle ne supprime pas le risque. Les utilisateurs peuvent éviter de confier à un dépositaire centralisé le contrôle unilatéral de leurs actifs, mais ils restent exposés aux logiciels de portefeuille, à la logique des contrats intelligents, aux ponts, aux relais, aux passkeys, aux permissions déléguées, aux interfaces, aux émetteurs de cartes et aux processus de règlement.

Le contraste avec le vol de Coldcard en 2026 permet de mieux comprendre cette différence. Dans cet incident, des informations ont fait état d’environ 594 BTC dérobés à près de 500 portefeuilles en quelque 25 minutes, après un problème de micrologiciel ayant affaibli l’aléa utilisé pour générer les phrases de récupération. La faille concernait le matériel et le micrologiciel du portefeuille, et non la cryptographie sous-jacente de Bitcoin. 30

Avici illustre une autre catégorie de défaillance : un produit de paiement peut préserver le contrôle de l’utilisateur sur son portefeuille général tout en plaçant les fonds destinés à la carte dans un système contractuel spécialisé, avec ses propres dépendances. Coldcard met en évidence les risques liés au matériel et à la génération des clés ; Avici souligne ceux liés aux contrats, aux autorisations, aux interfaces et aux infrastructures des partenaires.

La conclusion pratique n’est pas que la conservation autonome serait intrinsèquement dangereuse, ni que la conservation centralisée serait automatiquement plus sûre. C’est plutôt que la sécurité d’un produit de paiement autonome dépend de l’ensemble du parcours de transaction. Avant de l’utiliser, il faut savoir quels actifs restent dans le portefeuille ordinaire, lesquels sont transférés vers un contrat de carte ou d’entiercement, qui peut autoriser les retraits, comment les mises à niveau sont gouvernées et ce qui se passe lorsqu’un partenaire ou un contrat rencontre un problème.