Aviciのカード残高から約50万ドル流出、Triaも被害　全額補償を約束

Aviciで不正流出・全額補償完了

【8月30日の最新情報】：TriaとAviciは30日、不正流出の影響を受けた全利用者への補償が完了したと発表した。両社は被害額の全額に加え、10%相当を上乗せして返金したと説明した。

【8月29日公開の情報】：仮想通貨ネオバンク向けにステーブルコイン担保型カードの発行基盤を提供するRain（レイン）の契約が28日、何者かから攻撃を受け、提携先のカード残高から資金が流出したことが明らかになった。被害が確認されたのはソラナ（SOL）上でカードサービスを手がけるネオバンクのAvici（アヴィシ）と、同様のサービスを提供するTriaで、Rainは対象契約の更新を完了し攻撃を停止させたと発表した。

Aviciは利用者1,685人のカード残高から50万859.22ドルが流出したと明らかにした。自己管理型のソラナおよびEVMウォレットへの影響はなかったと説明した。

また、Triaはカード残高上のイーサリアムEVM資産は安全だと表明した。Aviciは米連邦捜査局のインターネット犯罪苦情センターに被害を届け出たという。

Rainが手がけるカードは、利用者がUSDCやUSDTなどのステーブルコインをカード用の別建て契約に入金し、そこから利用可能残高を管理する仕組みになっている。今回はこのカード残高を保管する契約の一部が旧バージョンのまま残っていた点が狙われたとみられる。

攻撃の手口

セキュリティ専門家らは、攻撃者が偽装した署名データを使い、利用者のカード残高契約に不正な管理者権限を設定したうえで資金を引き出したとの見解を示した。Rainは旧バージョンのソラナ契約の脆弱性が原因だと説明しているが、正式な技術的原因報告はまだ公表されていない。

流出した資金はイーサリアムへブリッジされた後、匿名化サービスのトルネードキャッシュへ複数回に分けて送金されたとみられる。なお、ステーブルコイン発行会社のサークルによるUSDCの凍結が行われなかった点について、SNS上で批判の声が上がった。

現状

被害への対応は補償策の段階に入っている。

Rain・Avici・Triaはいずれも被害者への全額補償を表明したが、具体的な返金時期や負担主体は現時点では明らかにされていない。