Attacco ad Avici: l’exploit da oltre $1M che ha colpito la crypto neobank su Solana

Attacco Avici: come un exploit da oltre 1 milione di dollari ha devastato il neobank crypto di Solana

Se tieni dei fondi su un neobank crypto, l'attacco Avici dovrebbe farti riflettere. Il 28 agosto 2026 un aggressore ha sfruttato un contratto per carte ormai obsoleto e ha svuotato i saldi degli utenti su diversi programmi Solana, per un totale di circa 1,1 milioni di dollari, tra cui 500.800 dollari sottratti a 1.685 utenti Avici, facendo crollare il token AVICI del neobank fino al 49%. In questa guida spieghiamo come è avvenuto l'exploit, dove sono finiti i fondi e cosa significa tutto questo per la sicurezza delle carte crypto. Detto ciò, l'incidente ha colpito i contratti di garanzia collaterale delle carte, non la rete Solana in sé.

Hai delle crypto e vuoi il pieno controllo dei tuoi fondi? Con la Mastercard self-custodial di Bleap puoi spendere le tue crypto ovunque sia accettata Mastercard, senza commissioni di cambio e con un cashback fino al 20%. Scopri la carta Bleap →

1. Cos'è Avici? La Neobank Solana coinvolta nella violazione

AVICI è una neobank self-custodial che permette agli utenti di spendere le proprie crypto tramite una carta di credito integrata con Visa. Il suo modello unisce il banking DeFi-native alla spesa reale con carta su Solana. Quando i clienti ricaricano le loro carte, quei fondi confluiscono in contratti di collaterale on-chain che garantiscono la spesa.

È proprio in questa struttura che si nascondeva il rischio. I termini di Avici indicano Third National come emittente della carta, mentre Rain, un principal member Visa, fornisce l'infrastruttura sottostante della carta in stablecoin. La violazione non ha riguardato il prodotto principale di Avici, ma un componente condiviso dell'infrastruttura contrattuale.

Perché il modello neobank crea un profilo di rischio specifico

I saldi custoditi all'interno di contratti on-chain rappresentano bersagli concentrati e prevedibili. I permessi a livello di amministratore incorporati nella logica dei contratti delle carte sono il punto debole, e l'affidamento a infrastrutture di terze parti condivise aggiunge un'esposizione sistemica. L'episodio mette in luce un rischio chiave per chi usa carte crypto: anche quando i clienti controllano i propri wallet principali, i fondi trasferiti nei sistemi di pagamento possono finire soggetti a smart contract separati di terze parti.

2. Come si è svolto l'attacco ad Avici: analisi passo per passo

L'attacco è stato pianificato, non opportunistico. Il wallet dell'attaccante sospettato ha ricevuto il primo finanziamento tramite il bridge cross-chain deBridge alle 13:40 UTC, quando sono arrivati 1,79 SOL da un'altra rete, per poi rimanere inattivo per circa tre ore prima della prima chiamata ai programmi di Avici alle 16:49:48 UTC. I ricercatori on-chain hanno anche segnalato uno schema di phishing parallelo che utilizzava falsi siti Avici per indurre gli utenti a collegare i propri wallet.

L'exploit "aggiungi admin, poi preleva" spiegato

Il cuore dell'exploit era un'escalation dei privilegi amministrativi. L'hacker ha prima eseguito una funzione chiamata SubmitSignatures sul programma di autorizzazione di Avici, poi ha chiamato AddCollateralAdmin sul programma delle garanzie collaterali di Avici, e infine ha eseguito WithdrawCollateralAsset per prelevare i fondi. Inserendosi come admin sui singoli account, l'attaccante ha aggirato completamente i controlli rivolti agli utenti. L'attaccante ha inviato un pacchetto di firme appositamente creato, chiamato AddCollateralAdmin, che gli ha erroneamente concesso l'accesso da amministratore a oltre 1.100 account di garanzia collaterale degli utenti. A quel punto l'attaccante ha potuto prelevare fondi da questi account uno per uno.

La vulnerabilità dello smart contract alla base di tutto

Il difetto risiedeva nella logica dei permessi. Il problema riguardava un controllo di firma e permessi ormai obsoleto nell'infrastruttura fornita da Rain, il partner di Avici per l'emissione delle carte. Un punto critico è che l'escalation dei privilegi admin on-chain dovrebbe richiedere multi-firma o meccanismi di time-lock come protezione. Invece, entrambi i programmi coinvolti erano aggiornabili e condividevano un'unica autorità di aggiornamento, un account standard anziché una configurazione multisig.

3. I fondi rubati e la pista del riciclaggio via Tornado Cash

Una volta prosciugati, i fondi sono stati rapidamente nascosti. Le stablecoin rubate sono state convertite in solana (SOL), trasferite su Ethereum tramite bridge e infine fatte passare attraverso il mixer crypto Tornado Cash. Tornado Cash raggruppa i depositi di molti utenti e spezza il collegamento on-chain tra origine e destinazione, rendendo i fondi molto più difficili da tracciare. Ecco perché il recupero diventa così complicato una volta che gli asset passano attraverso un mixer, e perché di solito si ricorre a società di analisi blockchain per seguire la pista prima che il riciclaggio si completi.

4. L'entità della violazione: 1.685 utenti coinvolti e oltre 1 milione di dollari di perdite

La cifra confermata da Avici è di 500.859,22 dollari prelevati dai saldi delle carte di 1.685 utenti. Il bersaglio principale sono stati i conti di garanzia collegati alle carte. L'exploit ha colpito esclusivamente i contratti delle carte Solana con saldi aggiunti tramite il sistema di Top Up. I normali wallet Solana ed EVM, insieme ai saldi delle carte EVM, agli onramp, offramp e agli swap, non sono stati toccati. Il prelievo è avvenuto in fretta: l'indirizzo dell'attaccante ha firmato in totale 14.672 transazioni, di cui 2.344 tentativi falliti.

Il tuo crypto dovrebbe restare sotto il tuo controllo, non bloccato nel contratto di qualcun altro. Con la Mastercard self-custodial di Bleap, mantieni il pieno controllo dei tuoi fondi mentre spendi ovunque, con 0% di commissioni FX e fino al 20% di cashback. Apri un account Bleap →

5. Il crollo del token AVICI: come ha reagito il mercato

Il mercato ha reagito subito. AVICI è crollato dal massimo delle 24 ore di 0,43$ fino a un minimo storico di 0,217$, per poi risalire intorno a 0,378$. Il tracollo riflette un crollo di fiducia legato ai fondi in custodia e alla sicurezza del protocollo. Peggio ancora, dopo l'exploit il token AVICI è sceso di circa il 39% in 24 ore, toccando un nuovo minimo storico e portandosi oltre il 96% sotto il picco di 7,61$ raggiunto a novembre 2025. Ondate di vendite così brusche sono uno schema ormai familiare dopo gli exploit di sicurezza nella DeFi.

6. La risposta di Avici all'incidente: dall'attacco al riconoscimento pubblico

Le prime parole pubbliche di Avici sono arrivate in fretta, anche se con cautela. Avici ha riconosciuto la situazione circa un'ora e 53 minuti dopo la prima transazione segnalata, scrivendo di essere a conoscenza di un problema che riguardava i prelievi dai saldi delle carte e di stare lavorando direttamente con i partner coinvolti. L'azienda non ha definito l'accaduto un exploit, non ha confermato l'ammontare della perdita né ha dichiarato quanti clienti fossero stati colpiti. Oltre alle dichiarazioni pubbliche, l'azienda ha presentato una denuncia ufficiale all'Internet Crime Complaint Center dell'FBI.

7. Il legame con l'attacco all'infrastruttura di Rain

La causa principale risale a Rain, non al codice proprietario di Avici. Rain ha individuato la vulnerabilità in una versione obsoleta dei suoi contratti Solana, usata sia da Avici sia da un numero ristretto di altri programmi. Tutte le implementazioni che eseguivano ancora la versione interessata sono state da allora aggiornate, e dopo la correzione non è stata rilevata alcuna ulteriore attività non autorizzata. Poiché lo stesso contratto serviva più piattaforme, i danni si sono estesi oltre Avici. Tria, un'altra neobanca crypto, ha riferito che 636 utenti sono stati colpiti, con perdite complessive superiori a 430.000$. Al momento della pubblicazione, i dettagli dell'indagine erano ancora in fase di aggiornamento.

8. Il piano di rimborso di Avici: cosa devono sapere gli utenti coinvolti

Avici ha reagito rapidamente sul fronte dei risarcimenti. L'azienda ha annunciato di aver ripristinato integralmente i saldi coinvolti, aggiungendo anche un cashback del 10% sugli importi prelevati. Avici ha confermato la risoluzione del problema: i rimborsi vengono elaborati per intero, con un cashback extra del 10%, il contratto su Solana è stato aggiornato e non si sono più registrate attività sospette collegate all'incidente. Agli utenti coinvolti è stato chiesto di verificare direttamente i propri saldi ripristinati, ricordando che il modo più sicuro per restare aggiornati resta l'account X ufficiale di Avici e i suoi canali di supporto, evitando link di terze parti.

9. Implicazioni più ampie per la sicurezza di DeFi e delle neobank crypto

L'attacco ad Avici mette a nudo un fatto scomodo: a causare le perdite più gravi non sono bug esotici, ma progettazioni sbagliate dei permessi. Man mano che le neobank integrano infrastrutture DeFi, la loro superficie d'attacco si allarga. Le soluzioni, in realtà, sono note da tempo: controlli amministrativi multi-firma, time-lock, audit indipendenti e coperture assicurative. A dare la misura del problema arrivano dati ancora più preoccupanti: un report ha documentato oltre 245 incidenti tra gennaio 2025 e luglio 2026, per un totale di 3,63 miliardi di dollari di perdite, e nella maggior parte dei casi gli attacchi hanno sfruttato falle nell'infrastruttura, servizi di terze parti, governance o semplici errori umani, non bug rientranti nel perimetro degli audit.

Dove custodisci e spendi le tue crypto fa la differenza. Un sistema self-custodial, in cui il controllo resta nelle tue mani, cambia completamente il tuo profilo di rischio. Bleap è una fintech che ha costruito una carta Mastercard self-custodial, con commissioni FX allo 0%, cashback fino al 20%, nessun abbonamento mensile e trading crypto senza commissioni né costi di gas su tutte le reti supportate, tra cui Solana e Arbitrum. È una carta di debito utilizzabile ovunque venga accettato Mastercard, non una banca né un posto dove bloccare i tuoi fondi dietro chiavi amministrative che non controlli.

Vuoi comprare e spendere crypto senza commissioni? Bleap offre trading senza commissioni e senza costi di gas, insieme a una carta Mastercard self-custodial con commissioni FX allo 0% e cashback fino al 20%. Inizia con Bleap →

Domande frequenti sull'attacco ad Avici

Cos'è l'exploit di Avici e come ha funzionato?

L'attaccante ha usato una sequenza "Aggiungi Admin, poi preleva". Ha chiamato SubmitSignatures sul programma di autorizzazione di Avici, poi AddCollateralAdmin sul programma collaterale, e infine WithdrawCollateralAsset per prelevare i fondi, sfruttando un contratto Rain card ormai obsoleto.

Quanti utenti sono stati colpiti dall'attacco ad Avici?

Sono stati coinvolti 1.685 utenti, per un totale di 500.859,22 $ in saldi delle carte. L'esposizione ha riguardato solo i conti collaterali delle carte, non i wallet self-custodial.

I fondi rubati sono stati recuperati dopo il passaggio su Tornado Cash?

Il recupero è estremamente difficile. Dopo il furto, le stablecoin sono state convertite in Solana, trasferite tramite bridge su Ethereum e poi fatte passare attraverso il servizio di mixing Tornado Cash, che interrompe la tracciabilità on-chain.

Avici rimborserà gli utenti colpiti dall'attacco?

Sì. Il team di Avici ha rimborsato integralmente gli utenti coinvolti e ha aggiunto un cashback del 10% dopo aver individuato e risolto il problema nel contratto.

C'è un collegamento tra l'attacco ad Avici e la violazione di Rain Infrastructure?

Sì. Rain ha individuato la vulnerabilità in una versione obsoleta dei suoi contratti Solana, usata da Avici e da un piccolo numero di altri programmi, rendendo l'infrastruttura di Rain la causa comune dell'incidente.

Perché il token AVICI è crollato dopo l'attacco?

La fiducia è crollata di colpo. AVICI ha perso il 49,4% in 24 ore, toccando un minimo storico di 0,2175 $, spinto dai timori sui fondi custoditi e sulla sicurezza del protocollo.

Conclusione: cosa possiamo imparare dall'attacco ad Avici

L'attacco ad Avici è costato agli utenti oltre 500.000 dollari, colpendo 1.685 account attraverso un exploit di tipo "Add Admin" e riciclando i fondi tramite Tornado Cash. Il rimborso totale più il 10% di cashback è un segnale positivo, ma l'incidente mette a nudo delle falle reali nella progettazione dei contratti delle neobank crypto, in particolare per quanto riguarda i permessi di amministrazione e le infrastrutture condivise. Aspettiamoci requisiti di audit più severi e utenti più attenti d'ora in avanti. Se vuoi il pieno controllo di come spendi le tue crypto, la Mastercard self-custodial di Bleap ti mette i fondi direttamente nelle mani, con 0% di commissioni FX, fino al 20% di cashback e trading senza commissioni.