Rain Cardのハッキング、Solana (SOL)のAviciユーザーから50万ドル規模が流出

Rain Card契約が侵害される

Solanaネットワーク上でカード発行型ネオバンクを運営するAviciのユーザー1,685人の残高から、計500,859.22ドルが不正に引き出された。攻撃の舞台となったのは、同サービスを支えるステーブルコイン担保型カードプラットフォームRainが運用するインフラだ。侵害は8月28日に発生し、Rainの提携先2社——Aviciと同種のカードプロバイダーTria——が標的となったが、損害はAviciに集中した。両社とも、ユーザーが自己管理するSolanaおよびEVMウォレットの資金は無傷だと確認している。被害はカード決済残高を保管する分離型コントラクトにとどまり、この仕組みではユーザーがUSDCやUSDTといったステーブルコインを専用コントラクトに預け入れ、カードの利用可能額として管理される。

インシデントを検証したオンチェーンセキュリティ研究者らによれば、攻撃者は偽造した署名データを使ってユーザーの残高コントラクトに不正な管理者権限を設定し、資金を引き出した。弱点が残っていたのは、更新されず稼働し続けていた旧バージョンのコントラクトだ。Rainはその後、対象コントラクトの更新を完了させて資金流出を止め、侵害の原因を旧Solanaコントラクトの脆弱性と説明している。ただし、正式な技術的根本原因報告書はまだ公表されておらず、この点は当メディアとして明示的に指摘しておきたい。Triaは自社カード残高のEthereum EVM資産は安全だと述べた。AviciはFBIのインターネット犯罪苦情センター(IC3)に被害を届け出た。窃取された資金はオンチェーンの追跡データによると、Layer 2経由ではなくメインネットの経路でEthereumへブリッジされた後、複数回の取引を経てTornado Cashに送金されている。盗まれたUSDCをCircleが凍結しなかったことへの批判がSNS上で広がった。Rain、Avici、Triaの3社はいずれも被害ユーザーへの全額補償を約束しているが、支払いスケジュールも資金源もまだ明らかになっていない。

GOLDミメコインが暴落

カード侵害と並行して、Solanaエコシステムの投機サイドでは別の事件がトレーダーを直撃していた。Solana系ミメコインGOLDは、時価総額の急騰の後、短時間で90%超下落。オンチェーンデータによれば、Emxhs...euZMPというアドレスが最も大きな打撃の一つを受けた。このアドレスは時価総額が4,000万ドルを下回っていた時点で72,700ドルのポジションを構築し、その後、関連する宣伝投稿が削除され盗難のうわさが流れ出した後にも、さらに18,100ドルを買い増した。累計の投入額は90,000ドルを超え、実現損失は現在82,400ドルに達しており、保有資産は投入額を90.7%下回っている。

同じ監視期間にさらなる警戒シグナルも浮上した。高値圏で買い入れたあるユーザーは、流動性が蒸発する中でわずか7分間に62,100ドルを失った。これはAMM(自動マーケットメイカー)プールが片側に偏り、厚みが消えた際に起きる典型的なスリッページだ。より構造的な問題として、分析コミュニティで流通しているデータによれば、GOLDチームが総供給量の82.45%を掌握し、開発者ウォレットが6億トークンを保有しているという。ここまで偏った分布では、単一の売り手が価格を崩せる。モニター自体も、アドレス単位のデータは取引行動を示すだけで保有者の意図までは確認できないと注意を促している。教訓は方向予測ではなく構造にあり、動きの速いトークンでは、ナラティブよりも保有者の集中度とプールの厚みの確認が先だ。 市場をリアルタイムで追いたい読者は、Bybitで現物・先物価格をライブで確認できる。

Solanaコンシューマーのリスクに焦点

二つの事案を並べると、リスクの両極から同じ構図が見えてくる。Solanaのコンシューマー層は、運営面の防護策を追い越す勢いで拡大している。カード侵害はオンチェーンで検証可能だ——流出額は確定しており、資金はTornado Cashまで追跡できる——にもかかわらず、Rainの決定的な事後検証はまだ出そろっておらず、補償条件も未定のままにある。ミメコイン側では、82.45%もの供給をチームが握る構図が、集中型供給が直面する通りの結末をたどった。当メディアの読みとしては、個人投資家の資金がSolanaのコンシューマーインフラに触れる前に、カストディ設計とトークン分配の監査という二点が最重要の審査項目になったということだ。