Falha em vaults de cartão da Avici drena US$ 653 mil na Solana

Algo que a documentação tratava como impossível aconteceu na sexta-feira na Solana. Cerca de US$ 653 mil foram retirados dos vaults que guardam o colateral em USDC dos cartões Visa do projeto. O tracker ao vivo marcou US$ 653.548 na primeira apuração. Relatos posteriores falaram em mais de US$ 1 milhão à medida que novas contas eram esvaziadas.

A promessa quebrada estava escrita com todas as letras.

Como a autocustódia foi contornada sem roubo de chaves

O manual descreve os contratos de escrow como autocustodiais e sob controle exclusivo da carteira do usuário. Nem a Avici, nem o banco emissor Third National, nem a rede Visa teriam poder para movimentar o saldo. A única saída prevista seria o desconto do valor gasto no cartão, com liquidação do USDC em um a dois dias. Na sexta-feira, essa regra foi contornada sem uso de chaves roubadas.

O vetor ainda não foi confirmado. A hipótese mais citada fala em pacote de assinaturas forjado para virar administrador dos escrows e chamar o saque. A Avici não validou a descrição e limitou-se a dizer no X que está ciente do problema e trabalha com parceiros.

O dinheiro não saiu de um cofre único.

Por que a drenagem pulverizada muda a investigação

Cada cliente mantém um escrow individual onde deposita USDC, recebe limite em dólar e tem o saldo reduzido a cada compra. O atacante precisou esvaziar conta por conta. O tracker inicial e as mensagens que falaram em mais de 9 mil usuários impactados apontam para uma drenagem pulverizada, não para o esvaziamento de uma tesouraria central como já se viu em golpes de governança na rede.

Essa pulverização muda a investigação. Em tesourarias, uma proposta leva dezenas de milhões de uma vez. Aqui foram chamadas repetidas na mesma permissão. O colateral some igual, mas o mapeamento dos vaults tocados fica mais difícil.

O impacto no token e o que a Avici ainda não respondeu

O token do projeto reagiu antes de qualquer relatório técnico.

O AVICI caiu cerca de 40% até US$ 0,24 nas horas seguintes, quase um quinto do valor de mercado da época. No fim da noite do dia 28, o ativo negociava a US$ 0,324, com queda de 24,6% em 24 horas, volume de US$ 2,16 milhões e valor de mercado perto de US$ 4,18 milhões. A recuperação reduziu a distância para a mínima, mas não apagou a perda.

O preço da Solana no mesmo horário era US$ 103,69, com queda de 5,55% em 24 horas. O recuo ajuda a contextualizar o dia, mas não explica a queda desproporcional do AVICI.

O endereço apontado como responsável foi divulgado como FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj. Consulta direta à rede no fim da noite retornou saldo zerado para essa carteira, sinal de que os fundos já haviam sido movidos para outros endereços. O dado confirma a movimentação, mas não revela o destino final.

A mecânica do cartão ajuda a entender a sensibilidade.

O usuário deposita USDC em contrato, recebe limite em dólar, gasta e tem o saldo deduzido. O Third National emite o plástico e liquida com a Visa em ciclos curtos. A autocustódia foi argumento de venda contra congelamento. Quando o colateral sai por terceiros, a confiança se rompe na garantia.

A autocustódia definiu quem não poderia mexer no dinheiro, mas não eliminou todos os caminhos privilegiados escritos no programa. Se a permissão de administrador pôde ser obtida com assinaturas forjadas, o controle da carteira deixou de ser suficiente. É uma falha de autorização, não de guarda de chaves, e por isso exige correção no desenho do contrato, não apenas troca de chaves.

Para quem usa o cartão, a dúvida é prática.

A Avici não disse se os vaults intactos continuam expostos à mesma chamada nem se a liquidação com o Third National foi interrompida. Também não informou se limites ainda podem ser usados ou há bloqueio preventivo. Sem isso, o usuário não sabe se mantém colateral no contrato ou se deve sacar o que restou para se proteger.

O caso não é o maior do ano. Já houve drenagens de US$ 20 milhões em DAOs e perdas de nove dígitos em firmware no mês anterior. Os US$ 653 mil iniciais, mesmo elevados depois para mais de US$ 1 milhão, ficam em ordem menor. O peso está no produto.

Cartões lastreados dependem de confiança dupla e o preço refletiu a quebra antes do relatório.

Até o fechamento a Avici não publicou post mortem, não detalhou contratos afetados e não apresentou plano de ressarcimento. A mensagem oficial manteve tom de monitoramento com parceiros. Pesquisadores seguiram atualizando o tracker sem confirmação da empresa sobre números ou vetor.

O desenho que fica é claro. Contratos que guardam fundos de milhares de usuários precisam tratar a função de administrador como superfície crítica. Assinaturas, administradores adicionais e rotas de saque devem exigir verificação que não possa ser forjada com um pacote montado fora da carteira do titular. Quando essa verificação falha, a autocustódia vira rótulo.

Para o mercado, o recado é sobre repetição. Falhas de autorização que dispensam roubo de chaves voltaram a aparecer em 2026 em cadeias diferentes e com produtos distintos. Cada caso drena valor moderado perto dos maiores hacks, mas somados corroem a percepção de que guardar colateral em contrato equivale a guardar em carteira própria. Até que a Avici mostre o que foi corrigido e quais vaults foram isolados, a incógnita sobre a extensão total seguirá aberta.