Le piratage représentant 1,1 million de dollars, qui s’est terminé à 500 859 dollars – et pourquoi le token d’Avici a été divisé par deux…

À 16:49:48 UTC le 28 août,La première retraitation liée aux contrats de cartes d’Avici a eu lieu sur Solana.Deux heures plus tard, le portefeuille de l’attaquant contenait 10 005 SOL, soit environ 1,07 million de dollars. Le token utilisé par cette banque numérique sur Solana avait chuté de 49,4 % en vingt-quatre heures, atteignant environ 0,22 dollar. C’est un niveau qui est considéré comme un nouveau minimum historique. Les titres de presse de cette nuit annonçaient que le vol s’élevait à plus de 1 million de dollars, et que la baisse était de 49 %. Les analystes cherchaient une conclusion claire. Le rapport nécessite des minutes pour être complété.

Avici propose une carte Visa dont vous pouvez utiliser les fonds en USDC : il suffit de déposer des stablecoins dans le compte sécurisé, puis de les utiliser comme crédit, tout en conservant vos cryptos. Ses propres documents indiquent que la carte permet une garde autonome des fonds – en termes du projet, c’est ce qu’ils disent.Seul le portefeuille d’un utilisateur peut jamais transférer cet argent.Le vendredi, l’attaquant n’a jamais touché le portefeuille d’un seul utilisateur. Au lieu de cela, il a suivi une séquence de trois étapes, compte après compte : soumettre les signatures dans un programme d’autorisation, ajouter du collatéral pour se faire reconnaître comme administrateur du compte de collatéral de l’utilisateur, puis retirer les actifs collatéraux pour récupérer le solde. Les chercheurs ont constaté que l’accès administratif a été accordé à plus de 1 100 comptes de collatéral ; les retraits effectués variaient entre 9 dollars et plus de 26 000 dollars. La cause principale réside dans les fonctionnalités du carte, et non dans l’application elle-même : il s’agit d’un contrat de carte Solana hérité, géré par Rain, le fournisseur d’infrastructure de délivrance de cartes.La signature mal envoyée est retournée à la première instruction.Ainsi, le signature de l’attaquant a été validée deux fois, et le programme a distribué des clés d’administration auxquelles il n’aurait jamais dû avoir accès.

Avici a indiqué, à 18:42 UTC, qu’il était conscient d’un problème affectant les retraits de solde sur les cartes bancaires. Cela s’est produit une heure et 53 minutes après le premier retrait. Rain a déclaré que le contrat défectueux avait été corrigé dans tous les programmes qui l’utilisaient, et qu’aucune activité non autorisée n’a eu lieu par la suite.

Maintenant, il reste à attendre la confirmation. Le tracker en temps réel indique que le montant atteint 653 000 $, et ce chiffre continue d’augmenter. Au moins un chercheur qui suit l’exploit en temps réel a pu constater cela.Plus de 9 000 comptes affectés ont été comptés.Et ils ont estimé le montant à prendre en charge à 1 million de dollars. Le chiffre final – donné par Avici et Rain, et confirmé dans la base de données de hack de DeFiLlama – est…500 859,22 dollars en soldes de cartes bancaires, répartis entre 1 685 utilisateursAvec une perte moyenne d’environ 24 dollars. Les chiffres plus élevés ne sont pas exactement corrects ; ils mesurent des choses différentes selon les critères utilisés. Par exemple, il s’agit du montant du principal épuisé, ou du montant de la carte bancaire de l’attaquant après conversion du montant obtenu en SOL. Le chiffre indiqué dans l’article était le plus élevé. Le chiffre confirmé par les données officielles était inférieur à moitié de ce montant. Un lecteur qui se fie aux informations fournies plutôt qu’aux résultats de l’enchère sous-estime légèrement le vol de tokens – et encore moins la dégradation subie par les tokens eux-mêmes.

Ces dommages sont ce qui compte vraiment. Il est donc intéressant de savoir ce que le token avait promises. AVICI est un token d’« propriété » : 77,5 % d’une offre fixe de environ 12,9 millions de tokens ont été distribués au public.Lors d’une vente en octobre 2025, au prix de 0,35 $.Aucun investissement ou répartition de équipe n’existe au moment de l’lancement. La gestion est assurée par des marchés de décisions basés sur le concept de “futarchy”. On suppose que la valeur générée par le projet revient aux détenteurs. Au cours des six semaines suivant la vente, le marché a évalué cette affirmation…Un pic autour de 7,60 à la fin du mois de novembre.Ensuite, il a fallu huit mois pour que l’argent soit remboursé. La baisse de 49,4 % le vendredi signifie que la valeur de cette monnaie est tombée à environ 0,43 dollar – soit environ 94 % en dessous de son niveau maximal. Selon les données hebdomadaires fournies par CoinGecko, AVICI a chuté de 52,8 % sur sept jours, tandis que les cryptos mondiales ont augmenté d’environ 6 %. La baisse du vendredi était due aux actions de AVICI elle-même, et non à la situation du marché en général.

L’échelle explique pourquoi un événement de valeur de 500 000 dollars peut entraîner une perte de valeur de 3 millions de dollars. Au plus bas de son cours vendredi, la capitalisation boursière était d’environ 2,8 millions de dollars. Ainsi, la perte totale était environ un sixième de la valeur totale du token. Le montant total des transactions en direct représentait près de deux cinquièmes de cette valeur. Si l’on utilise les unités propres à l’entreprise, selon le dernier rapport détaillé sur les économies publié en mars 2026, Avici génère environ 3 millions de dollars par mois en revenus liés aux cartes. Elle reçoit donc une commission de 1,9 %, soit environ 57 000 dollars par mois. En retirant une journée vendredi, cela représente près de neuf mois de ce rythme de réception de revenus. Ce flux de frais est donc la source même de la “valeur qui revient aux détenteurs” que le token est vendu pour offrir.

Avici a depuis…Engagé à rembourser intégralement tous les 1 685 utilisateurs concernés.Et le token a été récupéré pour environ 0,31 dollar dans les nouvelles. Il reste donc une question importante : qui paie pour le remboursement ? L’entreprise n’a pas révélé la source de ces fonds. Selon son plan de développement, les fonds de trésorerie et les bénéfices retenus appartiennent au DAO – aux détenteurs de tokens, par voie de vote de gouvernance. Si le remboursement s’appuie sur ces fonds de trésorerie, les propriétaires doivent payer eux-mêmes cette somme. C’est ce que signifie la propriété en période difficile, sans aucune protection offerte par une banque régulée : pas d’assureur derrière les USDC stockés, pas de bilan détaillé pour évaluer la capacité de résistance, pas de régulateur qui garantisse les promesses faites. Cette asymétrie – des droits similaires à ceux de l’actionnariat en périodes bonnes, mais des droits subordonnés en périodes mauvaises – est bien la leçon du 49%.

Ensuite, élargir le cadre une fois de plus. Le contrat vulnérable appartenait à Rain. Rain a dit que cela servait “un petit nombre d’autres programmes”, en plus d’Avici. Cela signifie donc que l’échec était lié aux systèmes partagés de ce domaine, et Avici était le nom le plus petit et le moins diversifié parmi ceux qui étaient en ligne. Le enregistrement du week-end montrait la même situation : le protocole de prêt d’Ethereum, Ajna, a subi une perte d’environ 775 000 dollars le lendemain, à cause d’un bug. Un token aussi petit ne peut pas supporter son propre échec de sécurité de la même manière qu’un protocole plus grand peut ignorer cet échec. En effet, le coût lié au token est identique au problème que le bug a provoqué.

Deux informations complémentaires permettraient de mettre à jour ce rapport. Premièrement : Avici indique d’où proviennent les fonds restitués. Si il s’agit du trésor de la DAO, les marchés futarchy voteront en réalité sur l’utilisation des valeurs des détenteurs de tokens pour remédier aux dettes créées par les contrats. Le prix reflète alors la valeur de cette gouvernance. Deuxièmement : toute information concernant le nombre de programmes qui ont utilisé le contrat obsolète. Cet chiffre détermine si il s’agit d’une activité interne de l’entreprise ou d’une activité externalisée. Jusqu’à ce que ces informations soient disponibles, l’investisseur reste avec la discipline qu’il a déjà acquise : le titre annonçait 1,1 million de dollars, mais le rapport officiel indiquait seulement 500 859 dollars. Le prix du token a donc diminué de 49 %.