El hackeo que costó 1.1 millones de dólares, y que terminó en 500,859 dólares… ¿Por qué el token de Avici se redujo a la mitad?

A las 16:49:48 UTC del 28 de agosto,La primera retirada contra los contratos de tarjetas de Avici ocurrió en Solana.Dos horas después, el cartera del atacante contenía 10,005 SOL, lo que equivale a aproximadamente $1.07 millones. El token utilizado por esta neobanca de Solana había bajado un 49.4% en veinticuatro horas, hasta llegar a los $0.22. Este nivel fue registrado como un nuevo mínimo histórico por los analistas. En los titulares de ese día se mencionaba que el robo ascendía a más de $1 millón y que la caída era del 49%. La empresa necesitaba una resolución para este caso. Los registros requieren tiempo para ser analizados.

Avici vende una tarjeta Visa en la cual puedes usar USDC para respaldar el pago. Es decir, se pueden depositar stablecoins en un entorno seguro, y luego se pueden gastar como crédito. El propio sistema permite el autocustodia de las criptomonedas. En palabras del proyecto: “”.Solo la cartera del usuario podría mover ese dinero.El viernes, el atacante no tocó ni un solo monedero de usuario. En cambio, siguió una secuencia de tres pasos, cuenta por cuenta: “SubmitSignatures” en un programa de autorización; “AddCollateralAdmin” para registrarse como administrador de la cuenta de colateral del usuario; y finalmente “WithdrawCollateralAsset” para retirar el saldo. Los investigadores contaron que se agregaron más de 1,100 cuentas de colateral bajo control administrativo. Las extracciones realizadas oscilaron entre unos $9 y más de $26,000. La causa raíz estaba en los mecanismos de funcionamiento de la tarjeta, no en la aplicación: era un contrato de tarjeta de Solana antiguo, gestionado por Rain, el proveedor de infraestructura para la emisión de tarjetas.Se redirige una segunda verificación de firma de vuelta a la primera instrucción.Así, la firma del atacante se validó dos veces, y el programa emitió claves de administrador que en realidad no debía otorgar.

Avici informó que era “conciente de un problema que afectaba a los retiros de saldo de las tarjetas”, a las 18:42 UTC, una hora y 53 minutos después del primer retiro. Rain dijo que el contrato defectuoso había sido corregido en todos los programas que lo utilizaban, y que no hubo ninguna otra actividad no autorizada posteriormente.

Ahora viene la parte que requiere esperar la confirmación. El seguimiento en tiempo real muestra que el valor de $653,000 se incrementó esa tarde y siguió subiendo. Al menos uno de los investigadores que monitorean las actividades relacionadas con el exploit sigue vigilando el proceso.Se contaron cuentas afectadas que superaban los 9,000.Y dijeron que la cantidad aceptada era de 1 millón de dólares. La cifra establecida – proporcionada por Avici y Rain, y confirmada en la base de datos de hacks de DeFiLlama – es…$500,859.22 en saldos de tarjetas, entre 1,685 usuarios.La pérdida promedio fue de aproximadamente $24. Los valores más altos no eran exactamente incorrectos; se referían a cosas diferentes, según los criterios utilizados: desde el valor del principal que se pierde hasta el valor del billetero del atacante después de convertir ese valor en SOL. El valor destacado representaba el número más alto. El valor confirmado, en cambio, era menos de la mitad de ese valor. Un lector que confía en los datos proporcionados por la fuente, en lugar de en los resultados de la liquidación, subestima ligeramente el robo… y, además, subestima también el daño causado al token.

Ese daño es lo que realmente importa. Por eso vale la pena preguntarse qué prometió ese token. AVICI es un token de “propiedad”: el 77.5% de una oferta fija de aproximadamente 12.9 millones de tokens fue entregado al público.En una venta de octubre de 2025, por $0.35.Sin ningún tipo de inversión o asignación de equipo al momento de la lanzamiento, la gobernanza se gestiona a través de “mercados de decisiones” de tipo futarquía. La idea es que el valor que genera el proyecto recae en los titulares de las acciones. En las seis semanas posteriores a la venta, el mercado estableció ese valor.Un pico cercano a los 7.60 en final de noviembre.Luego, pasaron ocho meses antes de que se devolvieran los fondos. La caída del 49.4% el viernes indica que la moneda entró en el mercado por aproximadamente $0.43 – es decir, un 94% por debajo de ese pico. La información semanal de CoinGecko mostraba que AVICI cayó un 52.8% en siete días, mientras que las criptomonedas globales aumentaron aproximadamente un 6%. La caída el viernes fue causada por las acciones de AVICI, no por factores del mercado en general.

La escala muestra por qué un evento que involucra 500,000 dólares puede causar una pérdida de 3 millones de dólares en el valor del token. En su punto más bajo, el viernes, el valor de mercado era de aproximadamente 2.8 millones de dólares. Por lo tanto, la pérdida total fue aproximadamente una sexta parte del valor total del token. El valor total de las transacciones en tiempo real llegó a aproximadamente dos quintas partes de ese valor. Si se consideran las unidades utilizadas por la empresa, según la última revisión detallada realizada por terceros en marzo de 2026, Avici procesaba alrededor de 3 millones de dólares al mes en transacciones con tarjetas, y obtenía una comisión del 1.9% de esos ingresos, lo que equivale a unos 57,000 dólares al mes. Si se elimina un viernes de esos nueve meses, queda casi todo el valor reportado. Esa comisión es precisamente la fuente del argumento de que “el valor se acumula para los titulares” del token.

Desde entonces, Avici ha…Se prometió reembolsar por completo a los 1,685 usuarios afectados.Y el token se vuelve a recuperar a aproximadamente $0.31 en las noticias. Eso deja una pregunta importante: ¿quién paga por el reembolso? La empresa no ha revelado la fuente de ese dinero. Según su diseño, los fondos del tesoro y las ganancias retenidas pertenecen al DAO, a los titulares del token, mediante votación de gobernanza. Si el reembolso proviene de esos fondos, los propietarios deben asumir esa carga. Eso es lo que significa ser propietario en un año difícil, sin ninguna protección de un banco regulado: no hay aseguradora detrás del USDC custodizado, como sí hay con los depósitos bancarios; no hay estado de cuentas claro para medir esa cantidad, y no hay regulador que garante esa promesa. Esa asimetría –reclamaciones similares a las de acciones en años buenos, pero reclamaciones subordinadas en años malos– es la verdadera lección del caso 49%.

Luego, amplía el marco una vez más. El contrato vulnerable pertenecía a Rain; Rain dijo que servía “para un pequeño número de otros programas”, además de Avici. Después, ese contrato fue mejorado en todos ellos. En otras palabras, el fracaso se debía a los problemas comunes de toda la categoría, y Avici era el nombre más pequeño y menos diversificado entre ellos. La cinta del fin de semana transmitía el mismo “olor” que había al otro lado del piso: el protocolo de préstamos de Ethereum, Ajna, sufrió una pérdida de aproximadamente $775,000 al día siguiente, debido a un error técnico. Un token tan pequeño no puede absorber su propio fracaso de seguridad de la misma manera que un protocolo más grande lo ignora, porque la tarifa que cobra es la misma que el exploit acaba de atacar.

Dos informes podrían actualizar este registro. Uno: Avici indica de dónde proviene el dinero reembolsado. Si se trata del tesoro del DAO, los mercados futarchy votarán sobre cómo gastar el valor de los titulares de tokens para limpiar los contratos generados. El precio mostrará cuánto vale esa gobernanza. Dos: cualquier información sobre cuántos programas ejecutaron el contrato obsoleto. Ese número decide si se trató de un evento empresarial o de un evento de categoría. Hasta que se obtenga alguna respuesta, los inversores seguirán la disciplina que ya han aprendido: la noticia decía $1.1 millones, pero el informe confirmado indicaba $500,859. Además, el valor del token disminuyó un 49% en ambos casos.