Avici攻撃、Solana(SOL)カード利用者から100万ドル超が流出

担保口座から100万ドル超が吸い上げられる

Solanaベースの暗号資産カードプラットフォームSolana上で運用されるAviciに対する攻撃が現在も進行中であり、オンチェーンの取引データをインシデント発生中に確認したところ、ユーザーの担保口座から100万ドル(約1.5億円規模)を超える資産が流出していたことが分かった。攻撃者のウォレットとみられるアドレスは、13:40 UTCにクロスチェーンブリッジのdeBridgeを通じて最初の資金供給を受け、別のネットワークから1.79 SOLが送金された。その後およそ3時間は動きを見せなかったが、16:49:48 UTCにAviciのプログラムへ最初の呼び出しを実行した。以降のオンチェーン記録では、被害を受けた口座に対して同じ3段階の操作が繰り返されている。まずAviciの認可プログラムとSolanaのEd25519署名検証プログラムを経由してSubmitSignatures呼び出しが行われ、次にAddCollateralAdmin呼び出しでユーザーの担保口座に追加の管理者を登録し、最後にWithdrawCollateralAsset呼び出しで担保を攻撃者管理のアドレスへ引き出す、という流れだ。

確認された1件の引き出しでは、単一ユーザーの口座から2,346.77 USDTが移動していた。攻撃者はその過程で回収したステーブルコインの一部をSOLに換えており、あるスワップでは209.76 SOLが返却されている。18:58 UTC時点でこのウォレットは10,005.03 SOL、約107万ドル相当を保有し、USDCとUSDTも約1万1,600ドル分を併せていた。わずか11分間で保有量が約2,595 SOL、約27万7,000ドル分増加したほか、このアドレスの署名取引数は14,672件に達し、うち2,344件が失敗していた。オンチェーンアナリストのSTACC(匿名)が構築したライブトラッカーは、送金元として125の口座を特定しており、個々の送金額は約9 USDCから2万6,000 USDT超にまで及んでいる。

Aviciは最初の報告取引から約1時間53分後、Xへの投稿で事態を認め、「カード残高の引き出しに影響する問題を認識しており、状況を注視している」と述べ、関係パートナーと直接協議を進めていると付け加えた。ただし同社はこの件を「エクスプロイト」と呼ばず、損失額も影響を受けた顧客数も明示していない。注目すべきは、被害に関わった2つのプログラムがいずれもアップグレード可能で、単一のアップグレード権限を共有していた点だ。その権限はマルチシグではなく標準的なアカウントだったが、この権限が引き出しを可能にした証拠は現時点で示されていない。今回のインシデントはAviciのカード担保および認可プログラムに限られた話であり、Solanaのレイヤー1ネットワーク自体の欠陥を示す報告は出ていない。

フィッシングサイトが第二の戦線に

被害は並行して拡大している。Aviciを装った偽サイトがユーザーから60万ドル超を引き出しており、フィッシング詐欺が実害を上積みする構図だ。偽ページは被害者をAviciの偽バージョンに暗号資産ウォレットを接続させ、攻撃者に残高を吸い上げるためのアクセス権を渡していた。Aviciは自社をセキュアなVisaクレジットカードと連携するセルフカストディ型ウォレットとして売り込んでおり、Apple App Storeの掲載情報では「ユーザーは常に資産の管理権を保持し、当社は資金を預からない」と謳っていたが、管理者の追加と担保の直接引き出しが可能だったとされる今回の状況は、この主張そのものを疑わせるものになっている。

トークンAVICIが一番打撃を受けている。セッション早い段階では38.54%安の0.2728ドルで取引されていたが、直近の数値では24時間で49.4%下落し0.2175ドル、過去最高値(ATH)を大きく割り込む史上最安値となった。2025年11月26日に付けた過去最高値7.56ドルからは約97%下方に位置する。時価総額は約284万ドルまで縮小し、24時間出来高は約65万6,543ドル。その大半はMetaDAOのフターキー型自動マーケットメーカー経由で処理されており、このdAppはプロジェクトの当初の資金調達も担った場だ。残りはLBank、KCEX、MEXCがさばいている。

Avici Inc.はウェブサイトにサンフランシスコの所在地を掲げ、デラウェア州法人として登録されており、条件を満たす米国のカード利用者には直接的なリスクが及ぶ。プロジェクトは2025年10月、MetaDAOによる上限付きトークンセールで350万ドルを調達した。当時、7,352人の参加者が約3,423万ドルを拠出したが、上限適用後におよそ89.8%が返金されている。AVICIは0.35ドルの価格で発行され、完全希釈評価額は約452万ドルだった。カード決済の基盤はVisaおよびMastercard連携の発行向けステーブルコイン決済インフラを供給するパートナーRainに依存しているが、AviciもRainもパートナー側システムの侵害には言及していない。

認可コントロールに厳しい視線

担保流出とフィッシング詐欺を重ねて見ると、一つの構図が浮かび上がる。Solanaエコシステムの決済型アプリケーションが、コンセンサス層ではなく認可層で攻撃されているのだ。事実確認の出発点はAvici自身のX声明であり、そこではカード残高の引き出し問題が確認されているにとどまり、事後検証は示されていない。プログラムの欠陥、認証情報の漏洩、署名鍵の露出のいずれが攻撃者の申請を通したのか、独立系セキュリティ企業の検証はまだ出ていない。業界データも同方向を指す。Hackenのレポートによれば、2026年第二四半期に約7億6,400万ドルが盗まれた事例のうち88.3%は、鍵や署名者、インフラの侵害が背景だった。SOL自体も過去24時間で4.6%下落。ネットワーク上のアップグレード権限ガバナンスは、Krakenの直前の投票切り替えでデインフレ提案が67%を突破した際にも注目を集めたが、今回の事件でより厳しい試練に直面することになった。攻撃者が追加管理者を登録して担保を引き出すという手順は、ブラインド署名を含む署名承認の危うさを改めて浮き彫りにしている。