Cerca de US$190 compraram o acesso do invasor. Esse foi o custo do gas, a taxa de transação, que a pessoa pagou antes de sair do protocolo Avici, baseado na Solana, com aproximadamente US$670.000; mais de US$1 milhão em fundos de usuários foram expostos na violação de segurança. O protocolo de controle de tráfego aéreo, construído na rede Solana, ganha dinheiro gerenciando intents, ordens off-chain que eram liquidadas por meio de seus relayers. O ataque parece ter visado essa camada de liquidação, permitindo que o invasor se apoderasse dos fundos antes que chegassem ao destino pretendido. O vetor de ataque A escala da perda é função do quão barato foi executar o exploit. A Coinpedia relata que o invasor gastou cerca de US$190 em gas antes de drenar o saldo, uma proporção custo-recompensa que pesquisadores de segurança sinalizaram como incomum mesmo para um incidente grave. A classe exata da vulnerabilidade, se uma falha na liquidação de intents, uma configuração incorreta de relayer ou um signatário comprometido, não foi confirmada publicamente. O que está claro é a cadeia temporal. A drenagem aparece como uma série de transações na Solana, a rede onde o protocolo roda, com SOL servindo como ativo de liquidação.
Segundo a CoinGecko, às 14:00 UTC de 29 de agosto, a CoinGecko mostra SOL a $105,08, alta de 2,54% em 24 horas e 11,00% em sete dias Métrica Valor Capitalização total do mercado cripto $2,66T Variação da capitalização em 24h -2,23% Preço da Solana (SOL) $105,08 Variação do SOL em 24h +2,54% Variação do SOL em 7d +11,00% O reembolso de 10% em cashback A equipe da Avici agiu para recompor os usuários. Segundo o relatório da Coinpedia, está oferecendo um reembolso de 10% em cashback aos afetados pelo exploit. O número merece análise: um trader que perdeu $1.000 recebe de volta $100, uma recuperação parcial que deixa a maior parte do prejuízo com o usuário. O caminho do reembolso importa tanto quanto a porcentagem. Dados da mesa indicam que se os usuários recuperam em SOL, na stablecoin atrelada às posições afetadas ou em um token de reivindicação recém-emitido determinará quanto desses 10% é efetivamente recuperável em valor de mercado. Até a publicação, a equipe não detalhou o mecanismo de distribuição, apenas o nível do cashback. Para onde foram os fundos Dados da CoinGecko mostram que o ganho do atacante, de cerca de $670.000, saiu dos aproximadamente $1 milhão em exposição total.
Essa lacuna, a diferença entre o que era drenável e o que foi drenado, sugere que o exploit foi interrompido no meio do caminho, seja pela equipe pausando o protocolo, seja pelos fundos estarem em uma posição que o atacante não conseguia alcançar. Observadores on-chain notaram que o dinheiro se moveu em um padrão consistente com uma saída rápida: saques em grande volume, depois uma consolidação em uma única carteira antes de qualquer mixing ou depósito em exchange. Como a Avici liquida na Solana, cada passo desse caminho é público no ledger da rede.
O que isso significa para intents na Solana: a Avici não está sozinha ao rodar esse design. O modelo baseado em intents, onde usuários expressam o que querem e relayers descobrem como executar, espalhou-se pelo stack DeFi da Solana, e o ataque levanta uma questão para todo protocolo que o utiliza: quem é responsável quando a camada de liquidação falha? A resposta está embutida na oferta de reembolso. Segundo a CoinGecko, um cashback de 10% é um reconhecimento de responsabilidade sem restituição total, uma postura que devolve o risco aos usuários para qualquer valor acima desse nível.
Dados da mesa mostram que o exploit também se insere numa cauda longa ativa de preocupação para traders que buscam entender por que exploits em DeFi na Solana acontecem, num momento em que o próprio SOL está em alta de 11% na semana, negociando com base no momentum do protocolo e não neste incidente. A questão em aberto é o cronograma da investigação. Se os fundos drenados aparecerão na exchange que a carteira consolidada usou, e se o atacante devolverá alguma parte, será resolvido on-chain, publicamente, nos próximos dias.