Rain Cardのハッキング、Solana (SOL)のAviciユーザーから50万ドル規模が流出

Rain Card契約の侵害

Solanaネットワーク上でカード発行型ネオバンクを展開するAviciのユーザー1,685人のカード残高から、攻撃者が50万859.22ドルを流出させた。侵害の対象となったのは、同サービスを支えるステーブルコイン担保型カード基盤「Rain」が運用するインフラだ。被害が発生したのは8月28日で、Rainの提携先であるAviciと、同種のカードプロバイダーTriaの2社が標的となったが、損害はAviciに集中した。両社はいずれも、ユーザーが自己管理するSolanaおよびEVMウォレットの資金は無事であることを確認している。盗まれたのは、カード利用残高を保管する分離型契約に限られた。この構造では、ユーザーがUSDCやUSDTといったステーブルコインを専用契約に預け入れ、その契約がカードの利用可能枠を管理する仕組みになっている。

インシデントを検証したオンチェーンセキュリティ研究者の分析によれば、攻撃者は偽造した署名データを使ってユーザーのカード残高契約に不正な管理者権限を設定し、その後資金を引き出した。悪用された脆弱性は、ローテーションされず稼働したまま残されていた旧バージョンの契約に存在していた。Rainはその後、対象契約の更新を完了させて資金流出を止めており、今回の侵害は自社の旧Solana契約における脆弱性に起因するとの見解を示している。ただし、正式な技術的根本原因報告書はまだ公表されておらず、この点は当メディアとして明示的に指摘しておきたい。Triaは、自社のカード残高に含まれるEthereum EVM上の資産は安全だったと声明を出した。AviciはFBIのインターネット犯罪苦情センター(IC3)に通報を提出した。盗難資金は、Layer 2のルートではなくメインネットのブリッジ経由でEthereumへ移動した後、オンチェーントレーシングによれば複数回の送金でTornado Cashへ送られた。盗まれたUSDCをCircleが凍結しなかったことへの批判がSNS上で広がった。Rain、Avici、Triaの3社はいずれも被害ユーザーへの全額補償を掲げているが、支払いスケジュールも資金源もまだ開示されていない。

GOLDミームコインの暴落

カードエクスプロイトが進行していたのと同じ時期、エコシステムの投機サイドでは別のSolana系の動きがトレーダーを直撃していた。Solana発のミームコインGOLDは、時価総額の急騰を経て短期間で90%以上暴落し、オンチェーンデータでは特定のアドレス「Emxhs...euZMP」が最も深刻な損失を被った存在として浮かび上がった。このアドレスは時価総額が4,000万ドルを下回る水準で7万2,700ドル分のポジションを構築し、その後、関連するプロモーション投稿が削除されプロジェクト周辺で盗難のうわさが流れ始めた後も、さらに1万8,100ドルを追加投入した。累計投資額は9万ドルを超え、確定損失は現在8万2,400ドル。保有資産は投入額を90.7%下回る水準まで減っている。

同じ監視期間には追加の警戒シグナルも現れた。高値圏で買い付けたあるユーザーは、流動性が蒸発するわずか7分で6万2,100ドルを失った。オートメーテッド・マーケット・メーカー(AMM)のプールが一方的な売りに偏り、板の厚みが消えた際に起こるスリッページの典型例だ。より構造的な問題として、分析コミュニティで流通しているデータによれば、GOLDチームが総供給量の82.45%を管理し、開発者ウォレットだけで6億枚のトークンを保有しているという。これほど集中した供給構造では、単一の売り手が価格を平坦化できる。監視側自身も、アドレス単位のデータは取引行動を示すもので保有者の意図までは確認できないと注意を促している。教訓は方向予測よりも構造に尽きる。動きの速いトークンでは、ナラティブよりも保有集中度とプールの流動性の確認が何より重要だ。リアルタイムで市場を追う読者は、Bybitのスポットおよび先物価格ライブ配信を利用できる。

Solanaコンシューマー層のリスクに焦点

その後の確認調査で損失の全体像が拡大した。同じ旧Rain契約バージョンから、複数のSolana系プログラムを合わせて約110万ドルが流出しており、Aviciの50万800ドル分を超える標的が存在したことを示している。Triaは自社ユーザー636人が43万ドル超の被害を受けたと開示し、同社のトークンは一時10%超下落した。残る被害プログラムの身元と損失額は未公表のままだ。市場の反応も鋭く、Aviciトークンは24時間高から49%下落、一時0.217ドル近辺まで売られてから0.30〜0.38ドルの水準へ回復したものの、2025年11月の高値7.61ドルからは96%超下落したままだった。オンチェーンデータは、攻撃者のウォレットに約10,005 SOL(約107万ドル相当)とステーブルコイン1万1,600ドルが置かれていることを示した。別件として、EthereumのレンディングプロトコルAjnaは8月29日、清算口座の操作により約77万5,000ドルを失ったと報告し、調査期間中は資金の引き出しをユーザーに呼びかけた。 市場をリアルタイムで追いたい読者は、MEXCで現物・先物価格をライブで確認できる。

(02:57 UTC時点)2つのインシデントを並べると、リスクスペクトルの両端から同じ弧が描かれている。Solanaのコンシューマー層は、運用面の安全装置の拡充を上回る速度でスケールしているということだ。カード侵害はオンチェーンで検証可能であり、流出額は確定し、 proceedsはTornado Cashまで追跡可能だ。それでもRainの決定的な事後検証報告は未提出で、補償条件も未定義のまま残されている。ミームコイン側では、チームが82.45%を管理する供給構造が、集中型の供給が exactly すべき動きをしただけだ。当メディアの読みとして、リテール資本がSolanaのコンシューマー基盤に触れる前に最も重要なデューデリジェンスは、カストディア・アーキテクチャとトークン供給の監査の2点に集約される。