El programa de tarjetas basado en Solana Avici ha revelado que su socio emisor de tarjetas Rain identificó una vulnerabilidad en una versión de un contrato de tarjeta de Solana utilizado para mantener los saldos de las tarjetas de los usuarios, un incidente que el proyecto describió en un anuncio del 28 de agosto. El contrato afectado ha sido actualizado desde entonces en todos los programas, y Avici dijo que no se ha observado más actividad no autorizada después de la corrección.
Qué fue afectado
Según Avici, el incidente se limitó a un único contrato inteligente y no a las billeteras de los usuarios. Cuando un usuario recarga una tarjeta, los fondos se mueven a un contrato de Solana separado que mantiene el saldo de la tarjeta, y solo este contrato fue afectado. Las billeteras de autocustodia de Avici, que mantienen fondos tanto en Solana como en cadenas EVM, no fueron tocadas y permanecen bajo el control de los usuarios, dijo la compañía. La separación entre los saldos de las tarjetas y las billeteras de autocustodia evitó que el daño se extendiera más, según el proyecto.
Escala del impacto
La conciliación de Avici muestra que 1.685 usuarios fueron afectados, lo que representa $500.859,22 en saldos de tarjetas. La compañía señaló que la versión vulnerable del contrato también fue utilizada por un pequeño número de otros programas, aunque no identificó esos programas ni reveló si sufrieron pérdidas. Avici no especificó cómo se explotó la vulnerabilidad ni cuánto tiempo pudo haber estado presente antes de que Rain la descubriera.
Reembolsos e informe regulatorio
Avici dijo que cada usuario afectado tendrá su saldo de tarjeta reembolsado en su totalidad, y que ha presentado un informe ante el Centro de Denuncias de Delitos en Internet del FBI, el centro de intercambio de información de EE. UU. para denuncias de delitos cibernéticos. La compañía dijo que permanece en estrecho contacto con sus socios emisores de tarjetas y de seguridad y está monitoreando de cerca la remediación, aunque no proporcionó un cronograma para completar los reembolsos.
Una preocupación recurrente de seguridad en Solana
La divulgación es la más reciente de una serie de incidentes de seguridad en todo el ecosistema de Solana. Avici, que anteriormente lanzó cuentas IBAN virtuales en Solana, es uno de varios proyectos de tarjetas y pagos que se construyen en la red. El episodio sigue a advertencias más amplias sobre la infraestructura adyacente a Solana, incluido un ataque a la cadena de suministro de Rust que los investigadores dijeron que puso en riesgo los procesos de compilación adyacentes a Solana. A medida que los productos de tarjetas mantienen cada vez más fondos en contratos en cadena, el incidente subraya la carga de seguridad que recae sobre los emisores que gestionan esos contratos.
Lectura relacionada: dtcpay amplía su Serie A a 25 millones de dólares con la incorporación de SBI Group.
