Avicis kryptokort ble tappet for over 600 000 dollar

Avici-hendelsen startet 28. august 2026, da det kom meldinger om at mer enn 600 000 dollar var forsvunnet fra kontoer som stilte sikkerhet for kortsaldoer. De første anslagene varierte fra rundt 600 000 dollar til over 1 million dollar etter hvert som transaksjoner ble fulgt på blokkjeden. Senere rapportering sa at Avicis kortutsteder Rain hadde funnet en sårbarhet i en eldre versjon av en Solana-kortkontrakt, og at de berørte kontraktene var oppgradert. De tilgjengelige opplysningene gir derfor ikke grunnlag for å behandle alle de tidlige anslagene som et endelig tapstall. 49 50 53

Det sentrale skillet går mellom Avicis vanlige, selvforvaltede lommebøker og de separate kontraktene som ble brukt til kortsaldoer. Hendelsen ble rapportert å ramme sistnevnte – ikke nødvendigvis infrastrukturen brukerne benyttet til å oppbevare andre Solana- eller EVM-baserte aktiva. 50 53

Slik koblet Avici krypto til Visa-kortet

Avici brukte en modell for sikrede kort, ikke en vanlig bankkonto. Ifølge selskapets dokumentasjon fungerte den slik:

1. Brukeren satte inn USDC i en smartkontrakt for lån og sikkerhet.
2. Innskuddet opprettet en kredittsaldo i amerikanske dollar på kortet.
3. Kortkjøp reduserte denne saldoen.
4. Den brukte mengden USDC ble senere likvidert fra kortkontrakten, vanligvis etter én til to dager, og noen ganger etter opptil en uke. 35

Avici opplyste at sikkerhetskontrakten var utplassert på et EVM-nettverk, men kunne ta imot innskudd fra Solana gjennom automatisk brokobling. Dokumentasjonen sa også at kortlommeboken var separat fra smartlommeboken, og at Visa bare kunne trekke midler etter å ha bevist at et kortkjøp hadde funnet sted. 33

Denne arkitekturen forklarer både appellen og risikoen. Brukerne kunne betale med krypto uten å overlate hele lommeboken til en sentralisert børs eller bank. Samtidig ble midlene flyttet inn i et spesialisert, programmerbart system for kortsaldoer – med smartkontrakter, brokobling, kortutsteder og autorisering av transaksjoner. «Selvforvaltet» betyr derfor ikke at alle delene av betalingsflyten er like enkle eller uavhengige.

Hva skjedde – og hva ble endret etter hvert som saken utviklet seg?

De første meldingene: uavklarte uttak fra kortsaldoer

1. august bekreftet Avici et problem som påvirket uttak fra kortsaldoer, samtidig som blokkjedeobservatører meldte om midler som ble flyttet til adresser kontrollert av angriperen. De første rapportene anslo tappingen til rundt 600 000–653 000 dollar. Andre fulgte senere angriperens lommebok og kom til over 1 million dollar. Tallene kan ha representert ulike stadier eller pengestrømmer og bør derfor ikke legges sammen automatisk. 49 51 54 58

På dette tidspunktet var det ikke offentlig fastslått om årsaken var en feil i kortkontrakten, en kompromittert autorisasjons- eller relémekanisme, et problem med kontoadministrasjon eller administratorregistrering, phishing eller en annen del av produktets tekniske stakk.

Senere oppdatering: Rain knyttet hendelsen til en eldre Solana-kontrakt

En senere oppdatering sa at Rain hadde oppdaget en sårbarhet i en eldre versjon av Solana-kortkontrakten som ble brukt av Avici og et lite antall andre programmer. De aktuelle kontraktene skal ha blitt oppgradert, og det var på tidspunktet for oppdateringen ikke registrert flere uautoriserte aktiviteter. Den samme rapporten sa at hendelsen var begrenset til den separate Solana-kontrakten som oppbevarte kortsaldoer etter innskudd, mens brukernes selvforvaltede Solana- og EVM-lommebøker var adskilt. 50 62

En senere redegjørelse oppga et avstemt tap på 500 859,22 dollar for 1 685 brukere, og at Avici lovet full tilbakebetaling. 53 Dette tallet er mer spesifikt enn de første blokkjedebaserte anslagene. Det er likevel viktig å skille mellom foreløpige tall fra et pågående angrep og en senere rapportert avstemming.

Hvorfor phishingmeldingene fortsatt er viktige

Forklaringen med en sårbar kontrakt fjerner ikke den separate phishing-risikoen. 28. august ble det rapportert om falske nettsteder som utga seg for å være Avici, og som brukte påståtte airdrops eller plattformfunksjoner for å få brukere til å koble til lommebøkene sine og godkjenne skadelige transaksjoner. Disse rapportene knyttet over 600 000 dollar i tap til et Avici-lignende phishingnettsted, samtidig som det på det tidspunktet ikke forelå offentlig dokumentasjon på et internt Avici-innbrudd. 2 4

Forklaringene utelukker ikke nødvendigvis hverandre. En sårbarhet i en kortsaldo-kontrakt kan ha rammet kortkontoer, samtidig som en separat kampanje med falske nettsteder tappet brukere som signerte ondsinnede transaksjoner. Uten en fullstendig hendelsesrapport som kobler sammen berørte adresser, kontrakter, transaksjonsinstruksjoner og tidspunkter, er det uforsvarlig å anta at alle tapene hadde samme årsak.

Dette er fortsatt ikke dokumentert

Det offentlige materialet etterlater flere viktige tekniske spørsmål:

• Hvilken nøyaktig kontraktversjon og hvilke utplasseringsadresser var sårbare?
• Hvilken instruksjon eller transaksjonssekvens ble brukt i angrepet?
• Fikk angriperen uautoriserte administratorrettigheter, eller ble en annen autorisasjonsvei misbrukt?
• Hvilke kontoer og saldoer ble berørt?
• Hvordan ble aktiviteten oppdaget, og hvor raskt ble kontraktene oppgradert?
• Hvordan skal tilbakebetalingen gjennomføres, og hva omfatter den?
• Må noen brukere bytte passnøkler, økter, delegerte autorisasjoner eller andre lommeboklegitimasjoner?

Rain-forklaringen er en viktig avklaring for hendelsen som rammet kortsaldoene, men den bør ikke utvides til en påstand om at alle Avici-relaterte lommeboktappinger skyldtes den samme sårbarheten. Det trengs en detaljert og uavhengig etterprøvbar rapport for å avgjøre dette.

Hva berørte brukere bør gjøre nå

1. Slutt å bruke mistenkelige lenker og berørte kortkontrakter

Ikke samhandle med Avici- eller kortrelaterte kontrakter via lenker i direktemeldinger, annonser, svar på sosiale medier eller påståtte airdrops. Bruk et bokmerket offisielt domene eller en supportkanal som er verifisert uavhengig, mens detaljene om utbedringen bekreftes.

2. Skill mellom kompromittert nøkkel og et godkjent uttak

Hvis du har skrevet inn en gjenopprettingsfrase, eksponert en privat nøkkel, installert en upålitelig lommebokutvidelse eller signert en ukjent transaksjon, bør gjenværende midler flyttes til en ny lommebok fra en ren enhet eller et rent lommebokmiljø. Å trekke tilbake tillatelser reparerer ikke en kompromittert seed eller signeringsnøkkel.

3. Gå gjennom tillatelser på hvert relevant nettverk

For EVM-lommebøker bør du kontrollere token-tillatelser og fjerne ukjente eller ubegrensede godkjenninger til å bruke midlene. Se også etter mistenkelige delegerte autorisasjoner eller sesjonsnøkler knyttet til kontoabstraksjon, dersom lommeboken støtter dette.

For Solana-lommebøker bør du gå gjennom nylig signerte transaksjoner, tilkoblede apper, ukjente delegeringer og aktive økter. Solana bruker ikke nøyaktig samme tillatelsesmodell som EVM-nettverk, så et generelt verktøy for å «trekke tilbake token-godkjenninger» vil ikke nødvendigvis finne alle relevante autorisasjoner.

4. Ta vare på dokumentasjon

Lagre lommebokadresser, transaksjonssignaturer, mistenkelige nettadresser, skjermbilder, tidspunkter og meldingen eller annonsen som førte til interaksjonen. Dette kan hjelpe lommebokleverandøren, Avicis innloggede supportteam eller etterforskere med å skille phishing fra en hendelse på kontraktnivå.

5. Vær forberedt på nye svindelforsøk

Ikke signer en «verifiserings-», «refusjons-» eller «gjenopprettings»-transaksjon sendt fra en uoppfordret konto. Kjente ofre er attraktive mål for svindlere som hevder at de kan få tilbake stjålne midler.

Hva Avici sier om selvforvaltning

Selvforvaltning endrer risikomodellen, men fjerner ikke risiko. Brukere kan unngå å gi en sentralisert depotmottaker ensidig kontroll over midlene, men er fortsatt eksponert for lommebokprogramvare, smartkontrakter, broer, reléer, passnøkler, delegerte tillatelser, brukergrensesnitt, kortutstedere og avregningsprosesser.

Kontrasten til Coldcard-tyveriet i 2026 illustrerer forskjellen. I den hendelsen ble rundt 594 BTC tatt fra omtrent 500 lommebøker i løpet av rundt 25 minutter etter at en firmwarefeil hadde svekket tilfeldigheten i genereringen av lommebokfrø. Feilen lå i lommebokenheten og firmwaren, ikke i Bitcoins underliggende kryptografi. 30

Avici representerer en annen type svikt: Et betalingsprodukt kan la brukeren beholde kontrollen over en generell lommebok, samtidig som kortsikkerheten plasseres i et spesialisert kontraktsystem med egne avhengigheter. Coldcard fremhever risikoen knyttet til maskinvare og nøkkelgenerering. Avici fremhever risikoen i kontrakter, autorisasjoner, grensesnitt og partnerinfrastruktur.

Det praktiske poenget er ikke at selvforvaltning i seg selv er utrygt, eller at sentralisert oppbevaring automatisk er tryggere. Poenget er at sikkerheten i et selvforvaltet betalingsprodukt avhenger av hele transaksjonsveien. Før du bruker et slikt produkt, bør du vite hvilke aktiva som fortsatt ligger i den vanlige lommeboken, hvilke som flyttes inn i en kort- eller escrow-kontrakt, hvem som kan godkjenne uttak, hvordan oppgraderinger styres og hva som skjer hvis en partner eller kontrakt svikter.

Det finnes heller ikke dokumentasjon i materialet som knytter rapporterte sårbarheter i Core Lightning teknisk eller operasjonelt til Avici. Slike hendelser illustrerer likevel samme bredere poeng: Risiko kan oppstå i programvare, protokoller og tjenester rundt nøklene – selv når brukeren fortsatt kontrollerer selve nøklene.