Avici 表示，攻击者在周五从 1685 名用户的卡余额中转走 500859.22 美元，所有受影响用户都将获得全额赔付。
此次漏洞出在 Rain 的合约，而不是 Avici 自身代码。Rain 是 Avici Visa 卡产品背后的发卡方。Rain 表示，其监控系统发现「一个漏洞影响到少量使用我们旧版 Solana 合约的项目」，并称已经升级所有运行该版本的程序。Avici 则称，其自托管钱包未被触及，被抽干的是另一份独立合约，用户给卡片充值后的余额保存在那里。
链上转账金额高于 Avici 披露损失
链上记录显示，攻击者转移的资金超过 Avici 披露的 500859.22 美元。执行攻击的钱包地址为 FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj，在 19:02:45 UTC 单笔转出整整 10000 枚 SOL。按 SOL 当时 106.62 美元计算，这笔转账约为 107 万美元。到 19:26:34，该地址已被清空。
这一差额与 Rain 的说法相符，即运行该脆弱合约的程序不止一个。
Rain 与 Avici 的回应
Rain 在 20:26 UTC 表示，已「聘请第三方法证专家展开调查，并将与执法机构及相关监管部门合作」。Rain 同时称：「所有受影响用户都会被补偿。」
Avici 表示，已向美国联邦调查局互联网犯罪投诉中心提交报告。该公司称：「对于此次事件引发的担忧与不便，我们深感抱歉。」
截至目前，两家公司均未说明旧版合约已部署多久、为何运行该合约的程序没有更早升级，也未说明攻击者如何发现该漏洞。报道还提到，Rain 通过稳定币与 Visa 进行卡交易结算，并为 Western Union 的 Stablecard 发卡，该产品于 8 月 4 日上线。
攻击路径：先添加管理员，再提走余额
链上数据显示，攻击钱包在 13:40 UTC 通过 deBridge 跨链转入 1.79 枚 SOL，随后静置约 3 小时。它针对卡合约的首次调用出现在 16:49:48 UTC。该地址总共签署了 14672 笔交易，其中 2344 笔失败，随后停止活动。
根据交易日志，对每名受害者的攻击模式都重复了 3 个步骤。攻击钱包先在授权程序上调用 SubmitSignatures，同一笔交易还会调用 Solana 的 Ed25519 签名验证预编译；随后在抵押程序上调用 AddCollateralAdmin；最后在同一程序上调用 WithdrawCollateralAsset。也就是说，攻击者先把自己登记为某个用户抵押账户的管理员，再把其中余额提走。
The Defiant 审查的一笔交易显示，一次 WithdrawCollateralAsset 调用就从一名用户的抵押账户中转出 2346.77 枚 USDT，进入攻击者的代币账户。攻击钱包在持续提取资产的同时，把拿到的稳定币一路换成 SOL，其中一笔成交增加了 209.76 枚 SOL。
两个程序都支持升级，且共享同一个升级权限。这个升级权限是一个普通 Solana 账户，而不是多签账户。
10000 枚 SOL 的转移路径
这 10000 枚 SOL 在 19:02:45 从攻击者钱包转出，当时资金抽取仍在继续。33 秒后，这笔资金再次被转移。接收地址 MsaXH6cGDahPQDwJjFYod7RW8QLVDZGByywWvwQ9TFu 在 19:03:18 将余额拆分成两笔：6999.98 枚 SOL 和 2999.99 枚 SOL，分别发往另外两个地址，随后该地址被清空。
这两个后续地址分别持有 82910 枚 SOL 和 110472 枚 SOL，每小时签署数千笔交易，并持有大量 memecoin 余额。The Defiant 称，这种画像与交易所或做市商热钱包相符。
近两小时后首次公开说明
Avici 的首次公开声明发布于 18:42 UTC，距离首笔抽干交易过去 1 小时 53 分钟。声明仅称其「注意到一个影响卡余额提取的问题」。在此之前，已有用户发帖反映余额消失。
一名用户在 18:44 UTC 写道：「i just got drained of all my balance from my @avici acc,」并补充说「waiting to hear from the project.」
AVICI 代币跌至历史新低
据 CoinGecko 数据，AVICI 报 0.2175 美元，24 小时下跌 49.4%，市值为 284 万美元，24 小时成交量为 656543 美元。该代币在周五创下历史新低，此前曾于 2025 年 11 月 26 日触及 7.56 美元。
该代币主要在 MetaDAO 的 futarchy 自动做市商上交易，约占总成交量的 58%；其余交易量分布在 LBank、KCEX 和 MEXC。
Avici 融资与公司信息
Avici 于 2025 年 10 月通过 MetaDAO 融资，是 Solana 上带动 ICO 回潮的项目之一。团队将融资上限定为 350 万美元，而认购承诺达到 34206976 美元，最终退还了 89.8% 的承诺 USDC，并将初始价格定为 0.35 美元，对应 1290 万枚代币供应下 4515000 美元的完全稀释估值。按 The Defiant 的说法，AVICI 当前价格约为 ICO 价格的 62%。
这家公司以 Avici Inc. 名义注册于旧金山，但未在官网披露团队成员。Avici 在 8 月 24 日表示，将成为首批在 Base 上提供 Coinbase 代币化股票的新型银行之一。
更广泛的安全背景
报道提到，钱包层面的安全事件在 2026 年损失中所占比重持续上升，案例包括 Trust Wallet 浏览器扩展遭黑客攻击导致的 700 万美元损失，以及 Coldcard 硬件钱包失窃事件。DeFi 在第二季度记录了约 70 起攻击事件，失窃金额约 7.46 亿美元，是有记录以来被攻击最严重的一个季度。