Solana Neobank Avici verspricht vollständige Rückerstattungen nach einem Angriff auf den Smart Contract – der dazu führte, dass 1 Million Dollar verloren gingen.

• Die auf Solana basierende Neobank Avici erlitt am 28. August einen Sicherheitsbruch. Dadurch wurden die Sicherheiten aus den Kontoauszügen der Nutzerkarten entfernt, was dazu führte, dass…Schätzung des Verlusts:Zwischen 650.000 und 1 Million Dollar.
• Der Angriff nutzte privilegierte administrativen Pfade in den zugrunde liegenden Smart Contracts – dadurch konnte der Angreifer…Um die Ansprüche bezüglich der Selbstvollständigung zu umgehenUnd die Einzahlungen der Nutzer extrahieren.
• Avici hat offiziell zugesagt, zu liefern.Vollständige Rückerstattungen für alle 1.685 Personen.Betroffene Nutzer – mit dem Ziel, das Vertrauen in den Markt nach dem schweren Angriff wiederherzustellen.
• Der Vorfall löste eine starke Marktkorrektur aus, wobei das Governance-Token der Plattform AVICI betroffen war.Ein Rückgang von bis zu 49%In den Tagen nach dem Bruch.

Ein Angreifer nutzte eine kritische Schwachstelle in der Architektur des Smart Contracts von Avici, um über 650.000 Dollar aus den Kautionsvaulten der Nutzer auf dem Solana-Blockchain abzuziehen. Die Sicherheitslücke trat am 28. August auf.Auf die Escrow-Verträge abzielendSie nutzten die Avici-VISA-Kreditkarten. Obwohl die Dokumentation der Neobank ausdrücklich besagte, dass nur die Nutzer-Wallets das Geld nach den Ausgaben abziehen konnten, hat der Angreifer…Diese Beschränkungen wurden umgangen.Durch die Verwendung eines sorgfältig erstellten Signaturenpakets konnte der Angreifer bestimmte Funktionen nacheinander ausführen, um eine unbefugte Verwaltungssouveränität über die Escrow-Konten zu erlangen.

Die Angriffsmethode folgte einem mehrstufigen Prozess, der dazu diente, die Berechtigungen im System zu erhöhen. Der Angreifer rief zunächst die Funktion „SubmitSignatures“ in Avicis Autorisierungsprogramm auf, anschließend die Funktion „AddCollateralAdmin“ im Collateral-Programm. Diese Abfolge ermöglichte es dem Angreifer, sich als Administrator für die einzelnen Benutzerkonten anzumelden. Sobald die administrativen Berechtigungen verfügt waren, führte der Angreifer die Funktion „WithdrawCollateralAsset“ aus.Extrahieren die gesperrten StablecoinsDer durchschnittliche Betrag, der von den gestohlenen Daten ausgegangen ist, betrug etwa 24 Dollar pro betroffenen Konto. Allerdings variierten die Verluste je nach Nutzer zwischen 9 und über 26.000 Dollar. Die Ermittler stellten fest, dass der Angriff nur etwa 190 Dollar an Anfangsinvestitionen erforderte, was die Effizienz des Fehlers unterstreicht.

Was verursachte das Avici-Smart-Contract-Exploit?

Die eigentliche Ursache des Verstoßes wurde auf eine bestimmte Quelle zurückgeführt.Gemeinsame Verletzlichkeit im CaaSDie Infrastruktur, die von Rain bereitgestellt wird, wurde von mehreren Solana-basierten Kryptowährungskartenanwendungen genutzt – darunter Avici, Tria und Solayer. All diese Anwendungen nutzten denselben veralteten Smart-Contract-Code von Rain. Ein Fehler in der Autorisierungslogik dieses gemeinsamen Contracts ermöglichte es einem Angreifer, die Genehmigungsprüfungen zu umgehen und den eigenen Wallet mit dem Status „Admin“ zu versehen. Die Schwachstelle entstand durch eine falsche Verarbeitung der zweiten Signaturprüfung – dadurch konnte das Netzwerk die Signatur des Angreifers erneut als gültig akzeptieren.

Avicis Architektur basierte auf einer einzigen, nicht-mehrfach autorisierten Aktualisierungsinstanz – was eine kritische „Single-Point-of-Failure“-Lage schuf. Das Ausnutzen dieses Fehlers ermöglichte es dem Angreifer, die Rechte im gesamten System zu erweitern. Im Gegensatz zu einem zentralisierten Hacking-Angriff betraf der Angriff dabei individuelle Benutzerkonten, nicht einen gemeinsamen Geldfluss. Jeder Kunde hatte einen separaten Escrow-Vertrag – daher musste der Angreifer die Abhebungen pro Account durchführen. Die gemeinsame Natur des Rain-Contracts bedeutete, dass ein einziger Fehler alle Anwendungen, die diese spezielle Version des Codes verwendeten, gefährden konnte.

Wie reagierte der Markt auf den Avici-Brüch?

Der Sicherheitsvorfall löste eine starke negative Reaktion auf den Kryptowährungsmarkt aus. Der AVICI-Govorance-Token fiel innerhalb von 24 Stunden nach dem Angriff um etwa 40 Prozent auf 0,24 Dollar. Einige Berichte besagen, dass der Token sogar um bis zu 49 Prozent fiel – das bedeutet, dass fast ein Fünftel seines Marktkapitals verloren ging. Der Token wird heute etwa 96 Prozent unter seinem historischen Höchstwert gehandelt, was auf die großen Bedenken der Investoren bezüglich der Sicherheit des Projekts hindeutet. Die gestohlene Summe entsprach fast 20 Prozent des Gesamtmarktkapitals des Tokens zum Zeitpunkt des Angriffs.

Trotz der Marktunsicherheit hat Avici schnell Maßnahmen ergriffen, um die Krise zu bewältigen und seine Nutzerbasis zu beruhigen. Das Unternehmen bestätigte, dass alle 1.685 betroffenen Nutzer vollständig Ihre Gelder zurückbekommen werden. Die Entschädigung wird direkt auf die Kontoauszüge der Nutzer überwiesen – ohne komplexe Antragverfahren. Avici erklärte, dass es mit Sicherheitsfirmen im Bereich Blockchain zusammenarbeitet, um den Diebstahl untersuchen und die Systeme stärken zu können. Die Fähigkeit des Projekts, eine vollständige Entschädigung anzubieten, wird durch einen Vorrat von etwa 3,5 Millionen Dollar unterstützt – dieser Vorrat wurde nach einer Überkapitalisierung durch Token-Auktion im Oktober 2025 gespeichert.

Der Angriff auf Avici zeigt die umfassenderen Sicherheitsprobleme im Solana DeFi-Ecosystem auf. Branchenberichte weisen darauf hin, dass zwischen Januar 2025 und Juli 2026 mehr als 245 Sicherheitsvorfälle stattgefunden haben – mit insgesamt 3,63 Milliarden Dollar an Verlusten. Besonders bemerkenswert ist, dass 147 dieser Vorfälle auf auditierten Protokolle eingewirkt haben; das entspricht 88,44 Prozent des gestohlenen Kapitals. Die meisten Angriffe nutzten dabei Infrastruktur, Dienstleistungen von Dritten oder Mängel in der Governance-Struktur – nicht aber Fehler innerhalb der Audits. Dieser Vorfall ist eine Warnung dafür, wie wichtig multi-signaturbasierte Kontrollmechanismen sowie eine solide architektonische Gestaltung bei selbstverwalteten Finanzprodukten sind.

Der Regen-CaaS-Anbieter bestätigte, dass alle anfälligen Programme auf sichere Versionen aktualisiert wurden, um die Angriffe zu stoppen. Tria, eine weitere betroffene Plattform, erkennte unbefugte Abhebungen bereits vor der Eindämmung des Problems fest. Solayer wiederum bestätigte, dass die Nutzergelder sicher blieben. Die koordinierte Reaktion dieser Plattformen zeigt die miteinander verbundenen Risiken in der gemeinsamen Blockchain-Infrastruktur. Da die Branche mit einer abnehmenden Versicherungsdeckung auf der Blockchain konfrontiert ist, unterstreicht der Avici-Fall die dringende Notwendigkeit transparenter Nachbereitungen und konkreter Sicherheitsverbesserungen.