Cryptokaart-hack kost gebruikers $1,1 miljoen

Het incident is vooral interessant omdat de normale cryptowallets van Avici niet werden gehackt. Het lek zat in de infrastructuur die het saldo voor kaartbetalingen beheerde. Daarmee legt de aanval een belangrijk risico bloot van cryptokaarten die gebruikmaken van externe betaalproviders.

Wat gebeurde er bij de cryptokaart-hack?

De aanvaller maakte gebruik van een kwetsbaarheid in een oudere versie van een smart contract van Rain. Dit bedrijf levert technologie waarmee cryptoplatforms betaalkaarten kunnen koppelen aan stablecoins en traditionele betaalnetwerken.

Een smart contract is een programma op een blockchain dat automatisch transacties kan uitvoeren. In dit geval beheerde het contract geld dat gebruikers beschikbaar hadden gemaakt voor betalingen met hun cryptokaart.

Uit blockchaintransacties blijkt dat de aanvaller zichzelf beheerrechten wist te geven over accounts waarin het geld voor de kaarten stond. Vervolgens kon hij de beschikbare tegoeden opnemen.

Rain ontdekte het probleem via zijn monitoringsystemen en werkte daarna programma’s bij die nog gebruikmaakten van de kwetsbare contractversie. Het bedrijf meldde vervolgens geen nieuwe ongeautoriseerde transacties.

Avici-klanten verliezen ruim $500.000

Bij Avici werden 1.685 gebruikers getroffen. Samen verloren zij ongeveer $500.800.

Avici benadrukt dat de aanval niet rechtstreeks de self-custodial wallets van klanten trof. De kwetsbaarheid zat in een apart Solana-contract dat geld beheerde nadat klanten saldo op hun kaart hadden gezet.

Bij self-custody beheert een gebruiker zelf de toegang tot zijn crypto. In principe heeft een bank, exchange of andere tussenpartij dan geen volledige controle over het vermogen.

Bij een cryptokaart ligt dat soms anders zodra je geld beschikbaar maakt om te betalen. Het saldo kan dan tijdelijk naar infrastructuur van een externe partij gaan. Precies in die tussenlaag ontstond bij deze aanval het probleem.

Avici heeft toegezegd alle getroffen kaartsaldi terug te betalen. Wanneer die vergoedingen plaatsvinden en hoe het bedrijf ze financiert, is nog niet bekend.

Ook Tria getroffen door aanval

De aanval bleef niet beperkt tot Avici. Ook cryptoneobank Tria maakte gebruik van de getroffen infrastructuur.

Volgens Tria verloren 636 gebruikers samen meer dan $430.000. Het bedrijf heeft eveneens aangekondigd klanten volledig te compenseren.

Het totale onchain verlies ligt rond $1,1 miljoen. De bekende schade bij Avici en Tria verklaart niet het volledige bedrag. Daardoor lijkt het erop dat ook andere programma’s die technologie van Rain gebruiken geld hebben verloren. Welke partijen dat zijn, is niet bekendgemaakt.

AVICI-token daalt bijna 50%

Naast het directe verlies onder gebruikers kreeg ook de AVICI-token een flinke klap.

De koers stond eerder binnen 24 uur nog rond $0,43, maar zakte tijdens de onrust naar een historisch dieptepunt van $0,217. Dat betekende een daling van ongeveer 49% vanaf de 24-uurs piek.

Later herstelde AVICI een deel van het verlies en steeg de koers weer richting $0,378.

Ook de token van Tria kwam onder druk te staan en verloor op een bepaald moment meer dan 10%.

De sterke koersreacties laten zien hoe gevoelig kleinere cryptoprojecten kunnen zijn voor beveiligingsincidenten. Beleggers kijken daarbij niet alleen naar het verloren bedrag, maar ook naar mogelijke terugbetalingen en de kans dat er meer problemen aan het licht komen.

Gestolen crypto eindigt bij Tornado Cash

De bewegingen van het gestolen geld waren gedeeltelijk via de blockchain te volgen.

De aanvaller zette de buitgemaakte stablecoins eerst om in solana (SOL). Daarna verplaatste hij het vermogen via een blockchainbrug naar Ethereum en stuurde de crypto uiteindelijk naar Tornado Cash.

Een blockchainbrug maakt het mogelijk om digitale activa tussen verschillende blockchains te verplaatsen.

Tornado Cash is een cryptomixer. Zo’n protocol probeert de directe verbinding tussen verzendende en ontvangende adressen moeilijker te volgen. Dat bemoeilijkt het verdere onderzoek naar de bestemming van gestolen crypto.

Avici heeft het incident inmiddels gemeld bij het Internet Crime Complaint Center van de Amerikaanse FBI.

Self-custody beschermt niet iedere stap

Voor gebruikers van cryptokaarten zit de belangrijkste les in de manier waarop de betaalinfrastructuur werkt.

Avici biedt een self-custodial omgeving waarin gebruikers zelf controle houden over hun cryptowallet. Volgens de voorwaarden van het bedrijf geeft Third National de kaart uit. Rain verzorgt een deel van de infrastructuur waarmee stablecoins aan het kaartnetwerk worden gekoppeld.

Dat betekent dat verschillende partijen betrokken kunnen zijn zodra iemand crypto met een kaart wil uitgeven.

Het geld in de persoonlijke wallet kan veilig blijven, terwijl het saldo dat voor kaartbetalingen klaarstaat toch risico loopt. Self-custody betekent daarom niet automatisch dat iedere stap van een cryptobetaling volledig onder controle van de gebruiker blijft.

Cryptokaarten verwerken steeds meer geld

Dat risico krijgt meer gewicht nu cryptokaarten vaker worden gebruikt voor dagelijkse betalingen.

Het geregistreerde transactievolume via cryptokaarten steeg in juli tot ongeveer $1,04 miljard. Stablecoins waren goed voor ongeveer 70% van meer dan 10 miljoen transacties.

Een stablecoin is een cryptomunt die zijn waarde probeert te koppelen aan een traditionele valuta, meestal de Amerikaanse dollar. Daardoor zijn stablecoins geschikter voor betalingen dan cryptomunten waarvan de koers sterk kan bewegen.

Meer gebruik betekent echter ook dat grotere bedragen door de technische infrastructuur achter cryptokaarten lopen. Een kwetsbaarheid in één contract kan daardoor in korte tijd veel gebruikers tegelijk raken.

Conclusie

De cryptokaart-hack bij de infrastructuur van Rain laat zien dat self-custody geen garantie biedt tegen alle risico’s. De persoonlijke wallets van Avici-klanten bleven intact, maar geld dat gebruikers voor kaartbetalingen beschikbaar hadden gemaakt, kwam in een kwetsbaar smart contract terecht.

De aanval kostte gebruikers van verschillende platforms ongeveer $1,1 miljoen. Avici en Tria hebben compensatie aangekondigd. Voor cryptogebruikers onderstreept het incident vooral het belang om te begrijpen wat er met crypto gebeurt zodra die vanuit een persoonlijke wallet naar een betaalkaart of andere externe dienst wordt verplaatst.

Veelgestelde vragen

Hoeveel crypto werd gestolen bij de cryptokaart-hack?

De totale onchain schade bedraagt ongeveer $1,1 miljoen. Bij Avici verloren 1.685 gebruikers samen ongeveer $500.800. Tria meldde ruim $430.000 aan verliezen bij 636 gebruikers.

Werden de wallets van Avici gehackt?

Nee. Volgens Avici bleven de self-custodial wallets op Solana en Ethereum-compatibele netwerken buiten schot. De aanvaller richtte zich op een apart contract waarin geld stond dat gebruikers beschikbaar hadden gemaakt voor kaartbetalingen.

Krijgen getroffen gebruikers hun geld terug?

Avici en Tria hebben aangekondigd getroffen gebruikers volledig te compenseren. Avici heeft nog niet bekendgemaakt wanneer klanten hun vergoeding ontvangen of hoe het bedrijf de terugbetalingen financiert.