Avici-Angriff: Wie ein $1M+-Exploit die Solana-Krypto-Neobank traf

Avici-Angriff: Wie ein Exploit über 1 Mio. Dollar Solanas Krypto-Neobank verwüstete

Wer Geld bei einer Krypto-Neobank liegen hat, sollte beim Avici-Angriff hellhörig werden. Am 28. August 2026 nutzte ein Angreifer einen veralteten Kartenvertrag aus und leerte Nutzerguthaben über mehrere Solana-Programme hinweg – insgesamt rund 1,1 Millionen Dollar, darunter 500.800 Dollar von 1.685 Avici-Nutzern. Der AVICI-Token stürzte daraufhin um bis zu 49 % ab. In diesem Artikel erfährst du, wie der Exploit genau ablief, wohin das Geld floss und was das für die Sicherheit von Krypto-Karten bedeutet. Wichtig dabei: Der Angriff zielte auf Karten-Collateral-Verträge ab, nicht auf das Solana-Netzwerk selbst.

Hältst du Krypto und willst die volle Kontrolle über dein Geld behalten? Mit der self-custodial Mastercard von Bleap kannst du Krypto überall dort ausgeben, wo Mastercard akzeptiert wird – mit 0 % FX-Gebühren und bis zu 20 % Cashback. Hol dir die Bleap-Karte →

1. Was ist Avici? Die Solana-Neobank hinter dem Hack

AVICI ist eine selbstverwahrende Neobank, mit der Nutzer ihr Krypto über eine Visa-Karte ausgeben können. Das Modell verbindet DeFi-natives Banking mit realem Kartenzahlungsverkehr auf Solana. Wenn Kunden ihre Karten aufladen, wandern diese Gelder in On-Chain-Collateral-Verträge, die ihre Ausgaben absichern.

Genau in dieser Struktur lag das Risiko. Laut Avicis Nutzungsbedingungen ist Third National der Kartenaussteller, während Rain, ein Visa-Hauptmitglied, die zugrunde liegende Stablecoin-Karteninfrastruktur bereitstellt. Der Hack betraf nicht Avicis Kernprodukt, sondern eine gemeinsam genutzte Vertragsinfrastruktur.

Warum das Neobank-Modell ein spezifisches Risikoprofil schafft

Guthaben, die in On-Chain-Verträgen verwahrt werden, sind konzentrierte, gut vorhersehbare Angriffsziele. Die Schwachstelle liegt in den Admin-Rechten, die in der Logik der Kartenverträge eingebettet sind, und die Abhängigkeit von gemeinsam genutzter Drittanbieter-Infrastruktur erhöht das systemische Risiko zusätzlich. Der Vorfall zeigt ein zentrales Risiko für Nutzer von Krypto-Karten auf: Selbst wenn Kunden die Kontrolle über ihre primären Wallets behalten, können Gelder, die in Zahlungssysteme überführt werden, separaten Smart Contracts von Drittanbietern unterliegen.

2. So lief der Angriff auf Avici ab: Eine Schritt-für-Schritt-Analyse

Der Angriff war gezielt geplant, nicht spontan. Das Wallet des mutmaßlichen Angreifers erhielt seine erste Finanzierung über die Cross-Chain-Bridge deBridge um 13:40 UTC, als 1,79 SOL aus einem anderen Netzwerk eintrafen. Danach lag es rund drei Stunden lang still, bevor um 16:49:48 UTC der erste Zugriff auf Avicis Programme erfolgte. On-Chain-Analysten machten außerdem ein parallel laufendes Phishing-Schema ausfindig, bei dem gefälschte Avici-Websites genutzt wurden, um Nutzer zum Verbinden ihrer Wallets zu verleiten.

Der Exploit "Admin hinzufügen, dann abheben" erklärt

Kern des Exploits war eine administrative Rechteausweitung. Der Hacker führte zunächst eine Funktion namens SubmitSignatures im Autorisierungsprogramm von Avici aus, rief anschließend AddCollateralAdmin im Collateral-Programm von Avici auf und nutzte schließlich WithdrawCollateralAsset, um die Gelder abzuziehen. Indem sich der Angreifer selbst als Admin bei einzelnen Konten eintrug, umging er sämtliche nutzerseitigen Sicherheitsprüfungen. Dazu reichte er ein speziell erstelltes Signaturbündel namens AddCollateralAdmin ein, das ihm fälschlicherweise Admin-Zugriff auf mehr als 1.100 Nutzer-Collateral-Konten gewährte. Anschließend konnte der Angreifer die Gelder aus diesen Konten nach und nach abheben.

Die Smart-Contract-Schwachstelle im Kern des Problems

Das Problem lag in der Berechtigungslogik. Konkret handelte es sich um eine veraltete Signatur- und Berechtigungsprüfung in der Infrastruktur von Rain, Avicis Partner für die Kartenausgabe. Eigentlich sollte eine On-Chain-Rechteausweitung durch Multi-Signatur- oder Time-Lock-Mechanismen abgesichert sein. Stattdessen waren beide betroffenen Programme upgradebar und teilten sich eine einzige Upgrade-Berechtigung – ein Standardkonto statt einer Multisig-Lösung.

3. Gestohlene Gelder und die Tornado-Cash-Geldwäsche-Spur

Sobald das Geld abgezogen war, wurde es schnell verschleiert. Die gestohlenen Stablecoins wurden in Solana (SOL) getauscht, zu Ethereum gebrückt und schließlich über den Krypto-Mixer Tornado Cash geschickt. Tornado Cash bündelt Einzahlungen von vielen Nutzern und unterbricht die On-Chain-Verbindung zwischen Quelle und Ziel, wodurch sich Gelder deutlich schwerer zurückverfolgen lassen. Genau deshalb ist eine Wiederbeschaffung so schwierig, sobald Vermögenswerte einen Mixer durchlaufen haben – und deshalb werden meist Blockchain-Analysefirmen eingeschaltet, um die Spur zu verfolgen, bevor die Geldwäsche abgeschlossen ist.

4. Ausmaß des Vorfalls: 1.685 betroffene Nutzer und über 1 Mio. $ Verlust

Die bestätigte Avici-Summe belief sich auf 500.859,22 $, die aus den Kartenguthaben von 1.685 Nutzern abgezogen wurden. Im Fokus standen dabei die Kartenbesicherungskonten. Der Exploit betraf ausschließlich Solana-Kartenverträge mit Guthaben, das über das Top-Up-System eingezahlt worden war. Reguläre Solana- und EVM-Wallets sowie EVM-Kartenguthaben, Onramps, Offramps und Swaps waren nicht betroffen. Der Abfluss ging schnell vonstatten: Die Angreifer-Adresse signierte insgesamt 14.672 Transaktionen, darunter 2.344 fehlgeschlagene Versuche.

Dein Krypto sollte in deiner Hand bleiben, nicht in fremden Verträgen eingeschlossen sein. Mit der selbstverwahrenden Mastercard von Bleap behältst du die Kontrolle über dein Geld und kannst überall bezahlen – mit 0% FX-Gebühren und bis zu 20% Cashback. Jetzt Bleap-Konto eröffnen →

5. AVICI Token Crash: Wie der Markt reagierte

Der Markt reagierte sofort. AVICI fiel von einem 24-Stunden-Hoch von 0,43 $ auf ein Rekordtief von 0,217 $, bevor er sich wieder auf etwa 0,378 $ erholte. Der Absturz spiegelte einen massiven Vertrauensverlust in Bezug auf verwahrte Gelder und die Sicherheit des Protokolls wider. Noch schlimmer: Nach dem Exploit fiel der AVICI-Token innerhalb von 24 Stunden um rund 39 % und erreichte damit ein neues Allzeittief – über 96 % unter seinem Höchststand von 7,61 $, den er im November 2025 erreicht hatte. Solche heftigen Ausverkäufe sind nach DeFi-Sicherheitsvorfällen leider keine Seltenheit.

6. Avicis Reaktion auf den Vorfall: Vom Angriff bis zur Bestätigung

Avici meldete sich schnell zu Wort, wenn auch vorsichtig formuliert. Etwa eine Stunde und 53 Minuten nach der ersten gemeldeten Transaktion bestätigte Avici die Situation und schrieb, man sei sich eines Problems bei der Auszahlung von Kartenguthaben bewusst und arbeite direkt mit den relevanten Partnern zusammen. Das Unternehmen sprach dabei weder von einem Exploit, noch nannte es die Höhe des Schadens oder die Anzahl der betroffenen Kunden. Neben den öffentlichen Stellungnahmen reichte das Unternehmen zudem eine offizielle Beschwerde beim Internet Crime Complaint Center des FBI ein.

7. Die Verbindung zum Rain-Infrastruktur-Hack

Die eigentliche Ursache lag nicht im Code von Avici selbst, sondern bei Rain. Rain identifizierte die Schwachstelle in einer veralteten Version seiner Solana-Contracts, die von Avici und einigen weiteren Programmen genutzt wurde. Alle Deployments, die noch mit der betroffenen Version liefen, wurden inzwischen aktualisiert – seit dem Fix wurden keine weiteren unautorisierten Aktivitäten mehr festgestellt. Da derselbe Contract mehrere Plattformen versorgte, breitete sich der Schaden über Avici hinaus aus. Tria, eine weitere Krypto-Neobank, meldete, dass 636 Nutzer betroffen waren, was zu Verlusten von insgesamt über 430.000 $ führte. Weitere Details zur Untersuchung waren zum Zeitpunkt der Veröffentlichung noch nicht bekannt.

8. Avicis Entschädigungsplan: Was betroffene Nutzer wissen müssen

Avici hat schnell reagiert, was die Entschädigung angeht. Avici teilte mit, dass betroffene Guthaben vollständig wiederhergestellt wurden und zusätzlich 10% Cashback auf abgehobene Beträge gewährt werden. Das Unternehmen bestätigte auch, dass die Fehlerbehebung abgeschlossen ist: Rückerstattungen werden vollständig ausgezahlt, plus 10% Cashback obendrauf, der Solana-Contract wurde aktualisiert, und es wurden keine weiteren verdächtigen Aktivitäten mehr festgestellt. Betroffene Nutzer wurden gebeten, ihre wiederhergestellten Guthaben direkt zu überprüfen. Der sicherste Ort, um Updates zu verfolgen, bleibt dabei Avicis offizieller X-Account sowie die Support-Kanäle – und nicht irgendwelche Links von Dritten.

9. Was das für DeFi und die Sicherheit von Krypto-Neobanken bedeutet

Der Angriff auf Avici zeigt deutlich: Es sind nicht ausgefeilte Bugs, die moderne Verluste verursachen, sondern schlecht durchdachte Berechtigungsstrukturen. Je mehr Neobanken DeFi-Infrastruktur einbinden, desto größer wird ihre Angriffsfläche. Dabei sind die Lösungen längst bekannt: Multi-Sig-Admin-Kontrollen, Zeitsperren, unabhängige Audits und Versicherungsschutz. Ein Blick auf die Gesamtlage macht das Ausmaß klar: Ein Bericht dokumentierte zwischen Januar 2025 und Juli 2026 über 245 Vorfälle mit Gesamtverlusten von 3,63 Milliarden Dollar – und die meisten Angriffe zielten auf Infrastruktur, Drittanbieter-Dienste, Governance-Strukturen oder menschliches Versagen ab, nicht auf Bugs innerhalb des eigentlichen Audit-Umfangs.

Wo du deine Krypto aufbewahrst und ausgibst, macht einen echten Unterschied. Ein selbstverwahrtes Setup, bei dem du die Kontrolle behältst, verändert dein Risikoprofil grundlegend. Bleap ist ein Fintech-Unternehmen, das eine selbstverwahrte Mastercard anbietet – mit 0% FX-Gebühren, bis zu 20% Cashback, keinem monatlichen Abo und gebührenfreiem Krypto-Trading ganz ohne Gas-Kosten auf unterstützten Netzwerken wie Solana und Arbitrum. Es handelt sich um eine Debitkarte, die du überall dort nutzen kannst, wo Mastercard akzeptiert wird – keine Bank und kein Ort, an dem dein Geld hinter Admin-Keys eingeschlossen ist, die du nicht selbst kontrollierst.

Du willst Krypto kaufen und ausgeben, ganz ohne Gebühren? Bleap bietet gebührenfreies Trading ohne Gas-Kosten und eine selbstverwahrte Mastercard mit 0% FX-Gebühren und bis zu 20% Cashback. Jetzt mit Bleap starten →

Häufig gestellte Fragen zum Avici-Angriff

Was ist der Avici-Exploit und wie lief er ab?

Der Angreifer nutzte eine "Admin hinzufügen, dann abheben"-Sequenz. Er rief zunächst SubmitSignatures im Autorisierungsprogramm von Avici auf, dann AddCollateralAdmin im Collateral-Programm und schließlich WithdrawCollateralAsset, um die Gelder abzuziehen – dabei nutzte er einen veralteten Rain-Card-Vertrag aus.

Wie viele Nutzer waren vom Avici-Angriff betroffen?

1.685 Nutzer waren von dem Exploit betroffen, was Kartenguthaben in Höhe von 500.859,22 US-Dollar entspricht. Betroffen waren ausschließlich Karten-Collateral-Konten, nicht selbstverwahrte Wallets.

Konnten die gestohlenen Gelder nach dem Transfer über Tornado Cash zurückgeholt werden?

Eine Rückholung ist extrem schwierig. Nach dem Diebstahl wurden die Stablecoins in Solana umgetauscht, über die Bridge zu Ethereum transferiert und anschließend über den Mixing-Dienst Tornado Cash geleitet – wodurch die Nachverfolgbarkeit on-chain unterbrochen wird.

Wird Avici die betroffenen Nutzer entschädigen?

Ja. Das Avici-Team hat die betroffenen Nutzer vollständig entschädigt und nach der Identifizierung und Behebung des Vertragsfehlers zusätzlich 10 % Cashback gewährt.

Gibt es eine Verbindung zwischen dem Avici-Hack und dem Sicherheitsvorfall bei Rain Infrastructure?

Ja. Rain identifizierte die Schwachstelle in einer veralteten Version seiner Solana-Verträge, die von Avici sowie einer kleinen Zahl weiterer Programme genutzt wurde – womit die Rain-Infrastruktur die gemeinsame Ursache darstellt.

Warum ist der AVICI-Token nach dem Angriff eingebrochen?

Das Vertrauen brach ein. AVICI fiel innerhalb von 24 Stunden um 49,4 % auf ein Rekordtief von 0,2175 US-Dollar, getrieben von Ängsten um verwahrte Gelder und die Sicherheit des Protokolls.

Fazit: Was wir aus dem Avici-Angriff lernen können

Der Avici-Hack kostete Nutzer über 500.000 $ auf 1.685 Konten – möglich gemacht durch eine "Add Admin"-Schwachstelle und gewaschen über Tornado Cash. Die vollständige Rückerstattung plus 10% Cashback ist zwar ein positives Signal, doch der Vorfall zeigt echte Schwachstellen im Vertragsdesign von Krypto-Neobanken auf, insbesondere bei Admin-Rechten und gemeinsam genutzter Infrastruktur. Strengere Audit-Anforderungen und mehr Wachsamkeit der Nutzer dürften künftig folgen. Wer die volle Kontrolle darüber haben will, wie er seine Kryptowährungen ausgibt, ist mit Bleaps selbstverwahrter Mastercard gut beraten: Deine Gelder bleiben in deiner Hand, dazu kommen 0% Wechselgebühren, bis zu 20% Cashback und gebührenfreies Trading.