Avici披露Solana卡合约漏洞，波及1685名用户

基于Solana的卡项目Avici披露安全漏洞

基于Solana的卡项目Avici透露，其发卡合作伙伴Rain在用于存储用户卡余额的Solana卡合约版本中发现了一个漏洞。该项目在8月28日的公告中描述了这一事件。受影响合约随后已在所有程序中完成升级，Avici表示修复后未再观察到任何未经授权的活动。

受影响范围

据Avici称，此次事件仅限于单个智能合约，并未波及用户钱包。当用户为卡片充值后，资金会转入一个独立的Solana合约中，该合约负责持有卡余额，而只有这个合约受到影响。公司表示，Avici的自托管钱包（在Solana和EVM链上均持有资金）未受影响，仍由用户掌控。项目方指出，卡余额与自托管钱包之间的隔离设计阻止了损害的进一步扩散。

影响规模

Avici的核对结果显示，共有1685名用户受到影响，涉及卡余额总计500,859.22美元。该公司指出，该漏洞合约版本也被少数其他程序使用，但并未透露这些程序的具体名称，也未说明它们是否遭受了损失。Avici没有详细说明漏洞是如何被利用的，也未说明在Rain发现之前该漏洞可能存在了多久。

退款与监管报告

Avici表示，每位受影响的用户将获得其卡余额的全额退款，并且已向美国联邦调查局互联网犯罪投诉中心（美国网络犯罪投诉的汇总机构）提交了报告。公司称，其与发卡合作伙伴及安全合作伙伴保持密切联系，并正在密切监控修复工作，但未提供完成退款的具体时间表。

Solana生态中屡现的安全隐患

此次披露是Solana生态系统一系列安全事件中的最新一起。Avici此前已在Solana上推出了虚拟IBAN账户，是众多基于该网络构建的卡和支付项目之一。这一事件紧随更广泛的关于Solana相关基础设施的警告之后，包括研究人员指出的一场针对Rust的供应链攻击，这场攻击曾使Solana相关的构建管道面临风险。随着卡产品越来越多地将资金存储在链上合约中，此事件凸显了管理这些合约的发行方所承担的安全重任。