Aviciの約60万ドル流出を整理：カード契約の脆弱性とフィッシングの違い

2026年8月28日、暗号資産を使ってVisaカードで支払えるサービス「Avici」で、カード担保口座から資金が流出したとの報告が相次ぎました。初期の推計は約60万ドルから100万ドル超まで幅がありましたが、後の報告では、カード発行パートナーのRainが旧バージョンのSolanaカード契約に脆弱性を確認し、影響を受けた契約を更新したとされています。したがって、初期の推計をそのまま確定損失額として扱うのは適切ではありません。49 50 53

その後、Aviciはカード残高から50万859.22ドルが流出し、1,685人が影響を受けたとして、全額を補償すると説明しました。53 一方で、初期のリアルタイムなオンチェーン推計と、後から集計された損失額は区別して見る必要があります。

Aviciは暗号資産をどのようにVisa決済へつないでいたのか

Aviciは、一般的な銀行口座や取引所口座とは異なる「担保付きカード」の仕組みを採用していました。公式ドキュメントによると、基本的な流れは次の通りです。

1. 利用者がUSDCをローン・エスクローのスマートコントラクトへ預ける。
2. 預けたUSDCを基に、カード上に米ドル建ての利用可能残高が作られる。
3. Visaで決済すると、その残高が減る。
4. 通常は一定の遅延を置いて、利用額に相当するUSDCがカード用コントラクトから換金される。35

Aviciの説明では、担保コントラクトはEVMネットワーク上に展開されていましたが、Solanaからの入金にも自動ブリッジを通じて対応していました。また、カード用ウォレットはスマートウォレットとは別で、Visaが資金を引き出せるのはカード決済の発生を証明できる場合に限られるとされていました。33

この設計は、利用者が暗号資産を中央集権型の取引所や銀行に丸ごと預けず、カード決済に使える点が特徴です。しかし実際の資金の流れには、スマートコントラクト、ブリッジ、カード発行会社、取引承認、決済処理など複数の要素が関わります。「セルフカストディ」であっても、決済に関わるすべての部品が同じように単純で、独立しているわけではありません。

何が起きたのか：初期報道と後の説明

初期段階：カード残高の引き出しに異常

8月28日、Aviciはカード残高の引き出しに関する問題を認識していると説明しました。同時に、オンチェーンの監視者は、攻撃者が管理するとみられるアドレスへ資金が移動していると報告しました。

当初の被害額は約60万ドルから65万3,000ドルとされ、後には攻撃者のウォレットを通じて100万ドル超が追跡されたとの報道も出ました。これらは攻撃の異なる段階や別々の資金移動を示している可能性があるため、単純に合算すべきではありません。49 51 54 58

この時点では、原因がカード用スマートコントラクトの欠陥だったのか、承認や中継の仕組みが侵害されたのか、アカウント抽象化や管理者登録の問題だったのか、フィッシングによる署名だったのか、あるいは別の構成要素にあったのかは確定していませんでした。

後の更新：Rainが旧Solanaカード契約の脆弱性を特定

後の報告では、RainがAviciと少数の別プロジェクトで使われていた旧バージョンのSolanaカード契約に脆弱性を発見したとされています。関連する契約は更新され、その時点では新たな不正活動は確認されていないと報じられました。50 62

また、影響したのは入金後のカード残高を保管する独立したSolana契約であり、利用者が通常保有するセルフカストディのSolanaウォレットやEVMウォレットとは分離されていた、と説明されています。50 62

この説明はカード残高の流出について重要な手がかりになりますが、Aviciに関連して報告されたすべての資金流出が同じ脆弱性によるものだったとまでは証明しません。影響を受けたアドレス、契約、命令、取引時刻を照合した詳細な事後報告が必要です。

フィッシング報告を切り離せない理由

契約の脆弱性が説明されたからといって、フィッシングの危険が消えるわけではありません。8月28日には、Aviciを装った偽サイトが確認され、エアドロップや新機能を装って利用者にウォレット接続や取引への署名を促していたと報じられました。偽サイトによる被害は60万ドル超とされ、当時はAvici内部の侵害を示す公的な証拠は確認されていないとも報じられています。2 4

この2つの説明は、必ずしも矛盾しません。カード残高を保管する契約の脆弱性が存在する一方で、別の偽サイトが悪意ある取引に署名した利用者のウォレットを流出させていた可能性もあります。完全なインシデント報告書がない段階で、すべての被害を一つの原因に結びつけるのは危険です。

まだ明らかになっていない点

公開情報からは、少なくとも次の点が十分に説明されていません。

• 脆弱だった契約の正確なバージョンとデプロイ先アドレス
• 攻撃に使われた命令や取引の手順
• 攻撃者が管理者権限を不正取得したのか、別の承認経路を悪用したのか
• 影響を受けたアカウントと残高の全リスト
• 監視が異常を検知した経緯と、契約更新までにかかった時間
• 補償の具体的な手続きと対象範囲
• パスキー、セッション、委任権限、ウォレット認証情報の更新が必要かどうか

Rainによる旧カード契約の脆弱性という説明は重要ですが、それだけでAvici関連の全流出の原因を確定することはできません。独立した検証が可能な詳細な事後分析が待たれます。

被害の可能性がある利用者が今すべきこと

1. 不審なリンクと影響を受けたカード契約の利用を止める

ダイレクトメッセージ、広告、SNSの返信、エアドロップ告知などに含まれるリンクから、Aviciやカード関連のコントラクトへ接続しないでください。公式ドメインをブックマークして直接開くか、独立して確認した公式サポート窓口を利用しましょう。

2. シードフレーズや署名鍵の流出と、権限設定の問題を区別する

リカバリーフレーズを入力した、秘密鍵を明かした、信頼できない拡張機能をインストールした、または不明な取引に署名した場合は、クリーンな端末やウォレット環境を使って、残っている資産を新しく作成したウォレットへ移すことを検討してください。

承認権限を取り消しても、シードフレーズや署名鍵そのものが流出した問題は解決しません。

3. ネットワークごとに権限を確認する

EVMウォレットでは、トークンの利用許可を確認し、見覚えのない支出先や無制限の承認を取り消します。対応しているウォレットでは、アカウント抽象化のセッションキーや委任権限も確認してください。

Solanaウォレットでは、最近の署名済み取引、接続済みアプリ、見覚えのないデリゲート、アクティブなセッションを確認します。SolanaはEVMと同じ承認モデルを採用していないため、「トークン承認を取り消す」だけの一般的なツールでは、すべての関連権限を見つけられない場合があります。

4. 証拠を保存する

ウォレットアドレス、取引署名、疑わしいURL、スクリーンショット、時刻、接続や署名に至ったメッセージ・広告を保存してください。これらは、フィッシング被害と契約レベルのインシデントを区別するうえで、Aviciの認証済みサポート、ウォレット提供者、調査機関に役立ちます。

5. 二次詐欺に注意する

見知らぬアカウントから届いた「本人確認」「返金」「資金回収」の取引には署名しないでください。被害者を狙い、「盗まれた資産を取り戻せる」と持ちかける詐欺が続く可能性があります。

Aviciが示すセルフカストディの現実

セルフカストディはリスクの種類を変えますが、リスクそのものをなくすわけではありません。中央集権型の管理者に資産を一任する必要がなくなる一方で、ウォレットソフトウェア、スマートコントラクト、ブリッジ、リレイヤー、パスキー、委任権限、フロントエンド、カード発行会社、決済処理などに依存することになります。

2026年に起きたColdcardの窃盗事件との比較が分かりやすい例です。この事件では、ウォレットのシード生成に使われる乱数を弱めるファームウェア上の問題により、約25分間で約500個のウォレットから約594BTCが流出したと報じられました。問題はBitcoinの暗号技術そのものではなく、ウォレット端末とファームウェアにありました。30

Coldcardがハードウェアと鍵生成のリスクを示したのに対し、Aviciは決済用コントラクト、承認、ユーザーインターフェース、ブリッジ、提携事業者のインフラにまたがるリスクを示しています。Core Lightningの脆弱性をめぐる報告も、秘密鍵を利用者が管理していても、プロトコルやノードソフトウェアが新たなリスクになり得ることを示す例ですが、利用可能な情報からAviciとの技術的・運用上の関連は確認できません。

重要なのは、セルフカストディが本質的に危険だ、あるいは中央集権型の管理の方が常に安全だと結論づけることではありません。セルフカストディでは、取引の全経路を自分で確認する必要があります。利用前に、通常のウォレットに残る資産、カードやエスクロー契約へ移る資産、出金を承認できる主体、アップグレードの仕組み、提携先や契約に障害が起きた際の補償と復旧手順を確認しておくことが大切です。