110万ドルのハッキングが500,859ドルにまで下がった——そして、なぜアヴィチのトークンが半分になったのか

8月28日、UTC時間14時49分48秒に、アヴィチのカード契約に対する最初の取り消しがソラナで行われた。2時間後、攻撃者の財布には10,005SOLがあった。その価値は約107万ドルに相当する。そして、このソラナネオバンクの通貨価値は24時間で49.4％下落し、約0.22ドルになった。これは、追跡機能を用いた人々が新たな記録として記録した数値である。その日の夜、報道ではこの盗難の規模が100万ドル以上であり、49％の下落だったと報じられた。記録を確定させるためには、何分かかるかが重要だ。

アヴィシは、USDCを保管することで保証されるVisaカードを販売しています。つまり、Stablecoinをエスクローに預け、クレジットのようにそれらを使って支払いができるのです。自分の暗号資産はそのまま保持できます。プロジェクトの言葉を借りれば、「自己管理」が可能なのです。そのお金を動かすことができるのは、ユーザーのウォレットだけです。金曜日には、攻撃者は一人のユーザーのウォレットを一切触れませんでした。代わりに、3ステップの手順を一つずつ実行しました。まず、認可プログラム上で「SubmitSignatures」を行い、次に「AddCollateralAdmin」を使って自分がユーザーのコラテラルアカウントの管理者になるように登録し、最後に「WithdrawCollateralAsset」を使って残高を引き出しました。研究者たちは、1,100以上のコラテラルアカウントに対して、1,100以上の資金が移動されたことを確認しました。その原因は、アプリケーションではなく、カードの仕組みにあったのです。それは、カード発行サービスを提供するRain社が運用している古いSolanaカード契約によるものでした。第二の署名チェックが、最初の指示に逆方向に送られてしまったしたがって、攻撃者のサインが2回確認され、プログラムは本来与えられるべきでない管理権限キーを渡してしまった。

アヴィチは、UTC時間で18:42に「カードの残高引き出しに問題があることを認識した」と報告しました。これは、最初の引き出しが行われてから1時間53分後のことです。レインによると、不具合のある契約は、利用されているすべてのプログラムで修正されており、その後、何の不正な行為も発生していないとのことです。

では、確認の時間を待つ代償となる部分です。ライブトラッカーには、その午後に653,000ドルが表示され、その値は上昇し続けました。少なくとも、このエクスプロイトを追跡しているチェーン研究者が一人いるようです。9,000を超える影響を受けたアカウントが数えられました。そして、その取得費用は100万ドルとされていました。アヴィチとレインが示した金額は、DeFiLlamaのハッキングデータベースにも記録されている。1,685人のユーザーにわたるカード残高は500,859.22ドル平均して約24ドルの損失があった。より大きな数字も実際には正しいわけではない。それらの数字は、ドルからSOLに換算された後の攻撃者の財布の価値といった、異なる基準で計算されているからだ。最も大きな数字が注目を集めた。確認された金額はその半分以下だった。決済金額ではなく、その情報源を信頼する読者は、盗難額を少し過大評価している。そして、トークンの損害もまた過小評価されている。

その損害こそが重要な部分です。だから、そのトークンが何を約束していたのかを知る価値があります。AVICIは「所有権」を表すトークンです。約1290万個のトークンのうち、77.5％が一般市民に配布されました。2025年10月のセールで、0.35ドルで販売されます。スタート時には、どのようなベンチャーやチームも存在せず、ガバナンスは「フューテラチー」という意思決定メカニズムによって行われます。また、プロジェクトが生み出す価値は、その所有者に帰属するというのが主張です。販売後の6週間の間に、市場はこの主張を評価しました。11月末には7.60近くのピークが見られます。そして、8ヶ月かけてそのお金を返還しました。金曜日の49.4％の下落は、その通貨価値が約0.43ドルにまで下がったことを意味しています。これは、そのピーク時の価値の約94％も下がったことになります。CoinGeckoの週間データによると、AVICIの価格は7日間で52.8％下がりましたが、世界の暗号通貨市場は約6％上昇しました。金曜日の暴落は、AVICI自身の行動によるものであり、市場の影響ではありません。

このスケールからわかるのは、50万ドル規模のイベントが300万ドルのトークンをこれほど大きく動かすことができる理由です。金曜日の最低値では、市場価値は約280万ドルでした。つまり、一度に受け取った損失は、そのトークンの総価値の約6分の1に相当し、ライブ録音による収益もその5分の2近くになります。これを会社の自己所有する資産として考えると、2026年3月に行われた最後の詳細な第三者による評価によると、Aviciは月間約300万ドルのカード利用を処理し、その1.9％程度をインターチェンジ手数料として得ていました。つまり、月間57,000ドルに相当します。1週間の金曜日を除くと、約9ヶ月分の収入がなくなります。そして、この手数料が、トークンが売られている際に「保有者に付与される価値」の源となっているのです。

アヴィシはその後、影響を受けた1,685人のユーザーの全額を返金することを約束している。そして、そのトークンはニュースによると約0.31ドルに回復しました。しかし、実際のお金に関しては一つ疑問があります。それは、返金の費用を誰が負担するかということです。会社はその出所を明らかにしていません。その設計によれば、財務資産や留保利益はDAOのものであり、トークン保有者に帰属するとされています。もし返金がその財務資産から行われるなら、所有者がその費用を負担することになります。これが、悪い年における所有権の意味です。規制された銀行の保護はありません。例えば、銀行の預金には保険会社が存在するように、明確なバランスシートもなく、規制当局の保証もありません。この非対称性――良い年には株主のような権利があり、悪い年には従属的な権利がある――が、49年の真の教訓です。

次に、フレームをもう一度広げます。脆弱な契約はRainのものでした。Rainは、Avici以外にも「少数の他のプログラム」にもその技術が利用されていると述べました。つまり、失敗はそのカテゴリー全体の共有された問題であり、Aviciは最も小さく、多様性のない存在です。週末のデータには、同じような状況がありました。Ethereumの貸付プロトコルであるAjnaは、翌日、別のバグにより約775,000ドルの損失を被りました。このような小さなプロトコルでは、自分自身のセキュリティ上の問題を、より大きなプロトコルが簡単に克服できるように処理することはできません。なぜなら、彼らが課す料金というのは、実際にはそのプロトコルが犯した攻撃と同じものだからです。

2つの情報がこの記録を更新するでしょう。1つ目は、アヴィチが返金資金の出所がどこかということです。もしそれがDAOの財政資金である場合、フューティカー市場が、契約によって生じる負債を解消するために、トークン保有者に与えられる価値について投票することになります。そして、その価格がそのガバナンスの価値を示すことになります。2つ目は、古い契約を実行したプログラムの数が何であるかということです。その数字が、これが企業のイベントなのか、それともカテゴリーのイベントなのかを決定します。これらの情報が明らかになるまでは、投資家は既に学んだ規則に従わざるをません。ヘッドラインには110万ドルと書かれていましたが、確認された数値は500,859ドルで、トークルの価値は49％下がっていました。