Dana Kartu Kripto Avici Terkuras: Apa yang Terjadi dan yang Harus Dilakukan Pengguna

Insiden Avici bermula pada 28 Agustus 2026, ketika muncul laporan bahwa lebih dari US$600.000 telah keluar dari akun yang menjadi jaminan kartu. Estimasi awal berkisar dari sekitar US$600.000 hingga lebih dari US$1 juta seiring transaksi dilacak di blockchain. Laporan lanjutan menyebut Rain, mitra penerbit kartu Avici, menemukan kerentanan pada versi lama kontrak kartu Solana dan kontrak terkait kemudian diperbarui. Karena itu, semua estimasi awal tidak boleh langsung dianggap sebagai angka kerugian final. 49 50 53

Hal penting yang perlu dibedakan adalah dompet self-custody biasa milik pengguna dan kontrak terpisah yang digunakan untuk menyimpan saldo kartu. Insiden tersebut dilaporkan berdampak pada komponen kedua, bukan secara otomatis pada infrastruktur dompet yang digunakan pengguna untuk menyimpan aset Solana atau aset di jaringan EVM lainnya. 50 53

Bagaimana Avici menghubungkan kripto dengan pembayaran Visa?

Avici menggunakan model kartu berjaminan, bukan rekening bank konvensional. Berdasarkan dokumentasinya, alurnya adalah:

1. Pengguna menyetor USDC ke kontrak pintar loan escrow.
2. Setoran tersebut menghasilkan saldo kredit dalam dolar AS untuk kartu.
3. Setiap transaksi kartu mengurangi saldo kredit tersebut.
4. USDC yang telah digunakan kemudian dilikuidasi dari kontrak kartu, biasanya dengan jeda satu hingga dua hari, dan dalam beberapa kasus bisa sampai sekitar satu minggu. 35

Dokumentasi Avici menyebut kontrak jaminan berada di jaringan EVM, tetapi dapat menerima setoran yang berasal dari Solana melalui proses auto-bridging yang dilakukan di belakang layar. Dokumentasi itu juga menyatakan bahwa dompet kartu terpisah dari smart wallet, dan Visa hanya dapat menarik dana setelah membuktikan bahwa transaksi kartu memang terjadi. 33

Struktur ini menjelaskan daya tarik sekaligus risikonya. Pengguna dapat membelanjakan aset kripto tanpa menyerahkan seluruh dompet kepada bursa terpusat atau bank. Namun, dana tersebut berpindah ke sistem saldo kartu yang terprogram dan melibatkan kontrak pintar, bridge, infrastruktur penerbit kartu, serta otorisasi transaksi.

Dengan kata lain, label “self-custody” tidak berarti semua bagian dalam alur pembayaran sama-sama sederhana, terpisah, atau bebas dari risiko pihak lain.

Kronologi: dari penarikan mencurigakan hingga dugaan celah kontrak

Laporan awal: penarikan saldo kartu yang tidak jelas penyebabnya

Pada 28 Agustus, Avici mengakui adanya masalah yang memengaruhi penarikan saldo kartu. Pada saat yang sama, pengamat on-chain melihat dana bergerak ke alamat yang dikendalikan penyerang.

Sejumlah laporan memperkirakan dana yang terkuras sekitar US$600.000 hingga US$653.000. Laporan lain kemudian melacak lebih dari US$1 juta melalui dompet yang diduga milik penyerang. Angka-angka itu bisa menggambarkan tahap atau aliran dana yang berbeda, sehingga tidak boleh dijumlahkan begitu saja. 49 51 54 58

Pada fase awal tersebut, informasi publik belum cukup untuk memastikan apakah penyebabnya adalah:

• celah pada kontrak kartu atau kontrak jaminan;
• kompromi atau penyalahgunaan mekanisme relay dan otorisasi;
• masalah account abstraction, passkey, atau pendaftaran administrator;
• transaksi berbahaya yang disetujui akibat phishing; atau
• kegagalan pada komponen lain seperti front end, backend, bridge, atau mitra penerbit kartu.

Pembaruan berikutnya: Rain mengaitkannya dengan kontrak kartu Solana versi lama

Pembaruan berikutnya menyebut Rain menemukan kerentanan pada versi lama kontrak kartu Solana yang digunakan Avici dan sejumlah program lain. Kontrak yang relevan dilaporkan telah diperbarui di seluruh proyek terkait, dan tidak ada aktivitas tidak sah baru yang terdeteksi ketika pembaruan itu disampaikan. 50 62

Laporan yang sama menyebut insiden terbatas pada kontrak Solana terpisah yang menyimpan saldo kartu setelah pengguna melakukan top up. Dompet Solana dan EVM yang tetap berada dalam kendali pengguna disebut terpisah dari saldo kartu tersebut. 50 62

Laporan lanjutan menyebut kerugian yang telah direkonsiliasi mencapai US$500.859,22 dan berdampak pada 1.685 pengguna. Avici juga dilaporkan menjanjikan penggantian penuh. 53

Angka ini lebih spesifik dibandingkan perkiraan real-time berbasis data on-chain pada awal serangan. Namun, pembaca tetap perlu membedakan antara estimasi saat serangan berlangsung dan angka rekonsiliasi yang dilaporkan setelahnya.

Mengapa laporan phishing tetap penting?

Penjelasan mengenai kontrak tidak menghapus risiko phishing yang juga dilaporkan pada periode yang sama. Pada 28 Agustus, sejumlah laporan menyebut adanya situs palsu yang meniru Avici dan menawarkan airdrop atau fitur platform fiktif untuk membujuk pengguna menghubungkan dompet serta menyetujui transaksi berbahaya. Laporan tersebut mengaitkan lebih dari US$600.000 kerugian dengan situs phishing yang menyerupai Avici dan menyatakan bahwa saat itu belum ada bukti publik mengenai peretasan internal Avici. 2 4

Kedua penjelasan itu tidak selalu saling meniadakan. Celah kontrak dapat memengaruhi akun saldo kartu, sementara kampanye peniruan identitas dapat menguras dompet pengguna yang menandatangani transaksi berbahaya.

Tanpa laporan insiden lengkap yang memetakan alamat terdampak, kontrak, instruksi transaksi, dan waktu kejadian, tidak aman untuk menganggap seluruh kerugian yang dikaitkan dengan Avici memiliki penyebab yang sama.

Apa yang masih belum dijelaskan?

Catatan publik yang tersedia masih menyisakan sejumlah pertanyaan teknis penting, antara lain:

• versi kontrak yang rentan dan alamat deployment secara tepat;
• instruksi atau rangkaian transaksi yang digunakan dalam eksploitasi;
• apakah penyerang memperoleh hak administrator secara tidak sah atau menyalahgunakan jalur otorisasi lain;
• daftar lengkap akun dan saldo yang terdampak;
• bagaimana aktivitas tersebut terdeteksi dan seberapa cepat kontrak diperbarui;
• mekanisme serta cakupan penggantian dana; dan
• apakah pengguna perlu mengganti passkey, sesi, otorisasi delegasi, atau kredensial dompet.

Atribusi Rain terhadap kontrak kartu versi lama merupakan penjelasan penting untuk insiden saldo kartu. Namun, temuan itu tidak boleh diperluas menjadi klaim bahwa semua pengurasan dompet yang berkaitan dengan Avici disebabkan oleh kerentanan yang sama. Untuk memastikan hal tersebut diperlukan laporan post-mortem teknis yang terperinci dan dapat ditinjau secara independen.

Yang harus dilakukan pengguna terdampak sekarang

1. Hentikan penggunaan tautan dan kontrak kartu yang mencurigakan

Jangan berinteraksi dengan kontrak Avici atau kontrak terkait kartu melalui tautan di pesan langsung, iklan, balasan media sosial, atau pengumuman airdrop yang tidak terverifikasi.

Gunakan domain resmi yang telah disimpan sebagai bookmark atau kanal dukungan yang diverifikasi secara independen. Jangan mengandalkan tautan yang dikirim oleh akun yang mengaku sebagai staf Avici.

2. Bedakan kebocoran seed atau kunci tanda tangan dari masalah izin

Jika Anda pernah memasukkan recovery phrase, membocorkan private key, memasang ekstensi dompet yang tidak tepercaya, atau menandatangani transaksi yang tidak dikenal, pindahkan aset yang tersisa ke dompet baru menggunakan perangkat atau lingkungan dompet yang bersih.

Mencabut approval tidak dapat memperbaiki seed phrase atau kunci tanda tangan yang sudah terkompromi.

3. Periksa izin di setiap jaringan yang digunakan

Untuk dompet EVM, periksa token allowance dan hapus approval spender yang tidak dikenal atau bersifat unlimited. Periksa juga delegated authority dan session key account abstraction yang mencurigakan, jika dompet Anda mendukungnya.

Untuk dompet Solana, tinjau transaksi yang baru ditandatangani, aplikasi yang terhubung, delegate yang tidak dikenal, serta sesi aktif. Solana tidak menggunakan model approval yang persis sama dengan jaringan EVM, sehingga alat umum untuk “mencabut token approval” belum tentu menemukan setiap otorisasi yang relevan.

4. Simpan bukti

Simpan alamat dompet, signature transaksi, URL mencurigakan, tangkapan layar, waktu kejadian, serta pesan atau iklan yang mengarahkan Anda ke transaksi tersebut.

Bukti ini dapat membantu penyedia dompet, tim dukungan Avici melalui kanal terautentikasi, atau penyelidik membedakan phishing dari insiden pada tingkat kontrak.

5. Waspadai penipuan lanjutan

Jangan menandatangani transaksi “verifikasi”, “pengembalian dana”, atau “pemulihan” yang dikirim oleh akun tidak dikenal. Korban yang sudah diketahui sering menjadi sasaran penipu lanjutan yang mengaku dapat mengembalikan aset curian.

Apa yang ditunjukkan Avici tentang self-custody?

Self-custody mengubah model risiko; konsep ini tidak menghapus risiko. Pengguna mungkin tidak memberikan kendali sepihak atas aset kepada kustodian terpusat, tetapi tetap dapat terpapar risiko dari perangkat lunak dompet, logika kontrak pintar, bridge, relay, passkey, izin delegasi, antarmuka aplikasi, penerbit kartu, dan proses settlement.

Perbedaannya terlihat jika dibandingkan dengan pencurian Coldcard pada 2026. Dalam insiden tersebut, laporan menyebut sekitar 594 BTC dicuri dari sekitar 500 dompet dalam waktu kurang lebih 25 menit setelah masalah firmware melemahkan keacakan yang digunakan untuk menghasilkan seed dompet. Kegagalannya berada pada perangkat dan firmware dompet, bukan pada kriptografi dasar Bitcoin. 30

Avici mewakili jenis kegagalan yang berbeda. Produk pembayaran dapat tetap mempertahankan kendali pengguna atas dompet umum, tetapi pada saat yang sama menempatkan jaminan kartu ke dalam sistem kontrak khusus yang memiliki dependensi sendiri.

Coldcard menyoroti risiko perangkat keras dan pembuatan kunci. Avici menyoroti risiko kontrak, otorisasi, antarmuka, serta infrastruktur mitra.

Pelajaran praktisnya bukan bahwa self-custody selalu tidak aman atau kustodian terpusat otomatis lebih aman. Pelajarannya adalah keamanan produk pembayaran berbasis self-custody bergantung pada seluruh jalur transaksi.

Sebelum menggunakannya, pengguna sebaiknya memahami:

• aset mana yang tetap berada di dompet biasa;
• aset mana yang berpindah ke kontrak kartu atau escrow;
• siapa yang dapat mengotorisasi penarikan;
• bagaimana pembaruan kontrak dikendalikan; dan
• apa yang terjadi jika mitra atau kontrak mengalami kegagalan.