基于Solana的加密卡平台Avici近期遭遇持续攻击，据链上报告显示，攻击者已从用户抵押账户抽走超过100万美元资金，同时其原生代币AVICI价格暴跌至历史新低。
攻击手法与链上追踪
疑似攻击者在某检查点持有10,005.03 SOL（约107万美元，按UTC时间18:58计价）以及约11,600美元稳定币（USDC与USDT）。该钱包通过deBridge在13:40 UTC获得初始资金1.79 SOL，约三小时后首次调用Avici程序。
交易日志显示重复的三步过程：首先通过授权程序调用SubmitSignatures并使用Solana的Ed25519签名验证；接着调用AddCollateralAdmin在用户账户注册额外管理员；最后通过WithdrawCollateralAsset将抵押资产转至攻击者控制账户。其中一笔交易提取了2,346.77 USDT。
匿名链上分析师STACC创建了实时追踪器，识别出125个发送账户，单笔转账从约9 USDC到超26,000 USDT不等。截至检查点，该钱包已签署14,672笔交易，其中2,344笔失败，其在11分钟内SOL持有量增加约2,595枚。
Avici确认卡片提款问题
Avici在首次相关交易后约1小时53分钟于X平台发文称：“我们意识到影响卡余额提款的问题，正在密切监控。”公司未将该事件称为漏洞利用，未确认损失金额、受影响用户数，也未披露是否暂停程序或补偿用户。
AVICI代币单日暴跌近半
据CoinGecko数据，AVICI 24小时内下跌49.4%至0.2175美元，市值约284万美元，交易量约65.6万美元。该代币历史高点7.56美元（2025年11月26日），事件当日低点较峰值跌约97%。
自托管声明受挑战
Avici自称自我托管钱包，用户资金不由其持有。但攻击者能添加管理员并移除未花费抵押品，引发对其授权控制机制的疑问。报告显示Avici程序可升级且共享同一升级权限（标准账户而非多签），但尚无证据表明升级权限导致提款。事件不涉及Solana底层区块链漏洞。
此前安全报告曾指出，2026年第二季度约88.3%的被盗资金源于密钥泄露或基础设施问题。Avici曾于2025年10月通过MetaDAO筹资350万美元，代币定价0.35美元。