Avici confirma reembolso integral a 1.685 usuários afetados; atacante explorou três vulnerabilidades em contratos inteligentes para drenar contas colaterais.
Um ataque cibernético ao neobanco Avici, plataforma de cartão de crédito cripto construída sobre a blockchain Solana, resultou na perda de fundos de usuários e provocou uma queda de até 49% no token nativo do projeto. O valor total drenado foi de US$ 500.859,22, embora estimativas iniciais apontassem para perdas entre US$ 650 mil e US$ 1,1 milhão.
Como ocorreu o ataque
A Avici opera como um neobanco de autocustódia na Solana, oferecendo um cartão Visa Signature vinculado a carteiras inteligentes que mantêm os fundos dos usuários até o momento da liquidação de uma transação. O invasor explorou três vulnerabilidades em contratos inteligentes — nas funções SubmitSignatures, AddCollateralAdmin e WithdrawCollateralAsset — para obter direitos de administrador não autorizados sobre aproximadamente 1.100 contas colaterais e, em seguida, drená-las por meio de uma série de pequenos saques.
A falha central, segundo a análise pós-incidente, foi o uso de uma autoridade de atualização única não multissetorial (non-multisig), o que permitiu que uma única chave comprometida fosse usada para escalar privilégios em todo o sistema. O parceiro emissor do cartão, Rain, identificou que o ataque ocorreu devido a uma versão desatualizada dos contratos Solana utilizados pela plataforma. O invasor obteve aproximadamente 10.005 SOL, avaliados em cerca de US$ 1,07 milhão na época, além de US$ 11.600 em stablecoins.
Queda do token e reação do mercado
A notícia do ataque provocou uma reação imediata no mercado. O token AVICI despencou para um recorde de baixa de US$ 0,2175, com quedas registradas entre US$ 0,2189 e US$ 0,4459. A capitalização de mercado da Avici caiu para uma faixa de US$ 2,8 milhões a US$ 4 milhões em seu ponto mais baixo.
O token já acumula uma desvalorização de mais de 96% em relação ao pico de US$ 7,61 registrado em novembro de 2025. Apesar da recuperação parcial para cerca de US$ 0,3093, o ativo permanece significativamente desvalorizado.
Compromisso de reembolso integral
Em resposta ao incidente, a Avici anunciou em sua conta oficial no X que reembolsará integralmente todos os saldos afetados. A empresa confirmou que 1.685 usuários foram impactados e que o valor total dos saldos comprometidos é de US$ 500.859,22. O anúncio do reembolso provocou uma alta temporária no ecossistema.
A Avici não detalhou publicamente como os reembolsos serão financiados, mas a empresa levantou aproximadamente US$ 3,5 milhões em outubro de 2025 por meio do MetaDAO, o que pode ter fornecido os recursos necessários para honrar o compromisso.
Implicações para o ecossistema DeFi da Solana
O incidente expõe uma vulnerabilidade que vai além da Avici: qualquer projeto que execute contratos atualizáveis com uma única chave de controle carrega o mesmo tipo de risco. Para produtos de cartão cripto, as consequências são ainda maiores, pois uma violação que afeta saldos vinculados a cartões Visa não é apenas uma falha de contrato inteligente — é uma falha de confiança no modelo de pagamento.
O ataque ocorre em um momento de crescentes incidentes de segurança no setor. Um relatório da CoinGecko documentou mais de 245 incidentes de segurança cripto entre janeiro de 2025 e julho de 2026, com perdas totais de US$ 3,63 bilhões.
