Die Solana Neobank Avici verliert über 1 Million US-Dollar, nachdem ein Angreifer einen von Rain ausgestellten Kartenvertrag ausnutzte.

Kartenguthaben gelten als der langweilige Teil von Kryptowährungen. Man hinterlegt USDC, gibt sie wie mit einer normalen Visa-Karte aus, und der Smart Contract kümmert sich um den Rest. Niemand rechnet damit, dass dieser „langweilige Teil“ die Angriffsfläche für Hackerangriffe sein könnte. Genau das passierte am 28. August Avici, einer Neobank aus Solana, die sich selbst als Anbieter von Self-Custodial bis hin zur Wallet-Ebene vermarktet.

Ein Angreifer entnahm Guthaben direkt den Kartenkonten der Nutzer – Gelder, auf die laut Avicis eigener Dokumentation nur die Wallet des Nutzers zugreifen kann. Das Unternehmen bestätigte den Vorfall auf X innerhalb von etwa zwei Stunden nach dem ersten Diebstahl und schrieb, man sei sich eines Problems bewusst, das die Auszahlung von Kartenguthaben beeinträchtige, und beobachte die Situation genau, während man gemeinsam mit Partnern an einer Lösung arbeite.

Wie das Geld floss

Die On-Chain-Experten rekonstruierten den Angriffsablauf recht schnell: Der Angreifer rief die Funktion`SubmitSignatures` im Autorisierungsprogramm von Avici auf, anschließend`AddCollateralAdmin` im Sicherheitenprogramm und schließlich`WithdrawCollateralAsset`, um die Gelder abzuheben. Vereinfacht gesagt: Der Angreifer verschaffte sich Administratorrechte auf Konten, auf die er keinen Zugriff hatte, und entwendete anschließend deren Guthaben.

Ein unabhängiger Forscher, @inno_sol, verfolgte den Datendiebstahl live und meldete ihn auf X als aktiv. Er notierte eine Wallet-Adresse und einen Betrag, der im Verlauf des Angriffs in Echtzeit stetig anstieg. Das ist mit ein Grund, warum die endgültige Schadenssumme so ungenau ist. Frühe On-Chain-Schätzungen bezifferten den Schaden auf über 1 Million US-Dollar. Die Wallet des Angreifers enthielt kurzzeitig etwa 10.005 SOL im Wert von rund 1,07 Millionen US-Dollar sowie etwa 11.600 US-Dollar in USDC und USDT. Nachdem sich die Lage beruhigt hatte, kamen sowohl Avicis eigene Überprüfung als auch der Hack-Tracker von DefiLlama zu einem niedrigeren, präziseren Wert: 500.859,22 US-Dollar, betroffen waren 1.685 Nutzer. Ich würde den niedrigeren Wert als maßgeblich betrachten, da er mit einer tatsächlichen Rückerstattungszusage verknüpft ist. Es ist jedoch wichtig zu bedenken, dass ein Datenleck von 500.000 US-Dollar in Echtzeit kurzzeitig wie ein Schaden von 1 Million US-Dollar aussah. Diese Lücke entspricht im Grunde dem Nebel des Krieges in der Berichterstattung über Kryptosicherheit.

Regen und wo Tria hineinpasst

Die Ursache liegt bei Rain, dem Anbieter der Stablecoin-Zahlungsinfrastruktur, der Visa- und Mastercard-basierte Karten für zahlreiche Krypto-Neobanken ausgibt. Avici gab an, Rain habe den Fehler in einer von Avici und einigen anderen Programmen verwendeten Version eines Solana-Kartenvertrags entdeckt und ihn anschließend umfassend behoben.

Diese Formulierung ist wichtig, denn Avici ist nicht der einzige Rain-Kunde. Auch Tria, eine weitere Self-Custodial-Kreditkarten-App mit einem Transaktionsvolumen von über 100 Millionen US-Dollar, nutzt laut ihren Kartenbedingungen die Infrastruktur von Rain für ihr internationales Kartenprogramm. Tria selbst veröffentlichte dazu einen Thread auf X, der im Zuge der Entwicklungen erstellt wurde. Ich konnte die Meldung, dass tatsächlich Gelder von Tria-Nutzern entwendet wurden, nicht unabhängig durch öffentliche Berichte bestätigen, und keine der von mir konsultierten Quellen hat Verlustzahlen für Tria in der Art von Avici veröffentlicht. Daher sollten Sie die Verbindung zur gemeinsamen Infrastruktur als gegeben und die Behauptung über gemeinsame Verluste als unbestätigt betrachten, bis Tria oder Rain etwas anderes sagen. Das ist eine wesentlich andere Aussage als „Tria wurde auch gehackt“, und diese Unterscheidung ist wichtig, wenn Sie als Tria-Karteninhaber entscheiden müssen, ob Sie in Panik geraten sollten.

Die Folgen

Der Token des Projekts, AVICI, reagierte negativ. Je nach betrachteter Momentaufnahme fiel er um etwa 39–49% und erreichte ein Allzeittief bei etwa 0,2175–0,2189 US-Dollar, bevor er sich wieder etwas erholte und bei rund 0,27–0,31 US-Dollar notierte. Der Token verlor damit fast ein Fünftel seiner Marktkapitalisierung aufgrund einer Sicherheitslücke, die laut Unternehmensangaben eine halbe Million US-Dollar bewegte. Märkte warten nicht auf eine Klärung.

Unterdessen blieb das gestohlene SOL nicht ungenutzt. Berichten zufolge wurden rund 10.000 SOL in etwa 1,02 Millionen US-Dollar in USDC umgewandelt. Von dort wanderten sie über verschiedene Blockchains und landeten schließlich bei etwa 418 ETH, die in Tornado Cash transferiert wurden. Die Transaktion über Tornado Cash ist der übliche letzte Schritt für jeden, der versucht, die Probleme anderer aufzudecken.

Keine isolierte Woche

Avici war in dieser Woche nicht der einzige Name im Vorfallsprotokoll. Einen Tag später verlor das Ethereum-Kreditprotokoll Ajna rund 775.000 US-Dollar durch Manipulation der Liquidationsbuchhaltung, wie das Überwachungsunternehmen Defimon Alerts erklärte. Davon stammten etwa 173.700 US-Dollar aus einem einzigen SyrupUSDC-Pool. Defimon gab an, die verdächtige Situation mehr als eine Stunde vor der ersten Transaktion erkannt und das Team direkt gewarnt zu haben. Ajna reagierte nicht rechtzeitig.

Das Ganze dreht sich heutzutage kaum noch um Fehler in Smart Contracts, zumindest nicht primär. Ein Sicherheitsbericht von CoinGecko für den Zeitraum Januar 2025 bis Juli 2026 zählte über 245 Vorfälle mit einem Gesamtschaden von 3,63 Milliarden US-Dollar. 147 dieser Vorfälle betrafen Protokolle, die tatsächlich geprüft worden waren. Kompromittierte Schlüssel, Unterzeichner und Infrastruktur – nicht etwa Schwachstellen, die bei einer Prüfung aufgedeckt worden wären – waren laut einer separaten Analyse von Hacken zu den Verlusten im zweiten Quartal 2026 für den Großteil der gestohlenen Daten verantwortlich. Avicis Vertrag war keine unüberprüfte, kurzlebige Implementierung; es handelte sich um eine gemeinsam genutzte Karteninfrastruktur mit einer Upgrade-Berechtigung, die sich als einzelnes Standardkonto anstelle eines Multisignaturkontos herausstellte. Das ist eine bewusste operative Entscheidung, kein Fehler in der Code-Überprüfung, und genau solche operativen Entscheidungen wurden das ganze Jahr über ausgenutzt.

Avici versichert, dass jeder betroffene Nutzer vollständig entschädigt wird. Dies ist nach einer Woche wie dieser die einzige Möglichkeit, die Glaubwürdigkeit eines Produkts mit Selbstverwahrung zu wahren. Doch die Marketingaussage „Selbstverwahrung“ und die tatsächliche Garantie erwiesen sich als zwei völlig verschiedene Dinge. 500.000 US-Dollar gingen verloren.