Solana blok zinciri üzerinde faaliyet gösteren Avici’nin kart sözleşmelerine yönelik ilk çekim işlemi, 28 Ağustos’ta saat 16:49:48 UTC’de gerçekleşti. İki saat sonra saldırganın cüzdanında 10.005 SOL bulunuyordu; bu miktarın değeri yaklaşık 1,07 milyon dolara ulaştı. Avici’nin arkasındaki token, yirmi dört saat içinde %49,4 değer kaybederek yaklaşık 0,22 dolara geriledi ve takipçiler tarafından tüm zamanların en düşük seviyesine (ATH) işaret edildi. O akşam çıkan haberlerde hırsızlığın 1 milyon doların üzerinde olduğu ve token fiyatındaki düşüşün %49 seviyesinde gerçekleştiği belirtildi.
Avici, Visa kartı sunan ve USDC stablecoin’lerini kilitleyerek teminat gösteren bir neobank olarak faaliyet gösteriyor. Kullanıcılar stablecoin’lerini bir emanet hesabına yatırıyor, kredi kartı gibi harcama yapabiliyor ve kripto varlıklarını ellerinde tutabiliyor. Projenin kendi açıklamalarında, fonların yalnızca kullanıcının cüzdanı tarafından taşınabileceği belirtiliyor. Ancak saldırgan, tek bir kullanıcının cüzdanına dokunmadan, üç adımlı bir döngüyle hesapları tek tek hedef aldı: Yetkilendirme programında SubmitSignatures işlemi, kullanıcının teminat hesabına kendisini yönetici olarak ekleyen AddCollateralAdmin işlemi ve ardından bakiyeyi çeken WithdrawCollateralAsset işlemi. Araştırmacılar, 1.100’den fazla teminat hesabına yönetici erişimi eklendiğini tespit etti; tek seferde çekilen tutarlar 9 dolardan 26.000 doların üzerine kadar çıktı. Sorunun kaynağı ise uygulamada değil, kart altyapısında yer alıyordu: Kart ihraç altyapı sağlayıcısı Rain’in işlettiği eski bir Solana kart sözleşmesi, ikinci imza kontrolünü yanlışlıkla ilk talimata yönlendirdi. Böylece saldırganın imzası iki kez doğrulandı ve program, verilmemesi gereken yönetici anahtarlarını dağıttı.
Avici, ilk çekimden bir saat 53 dakika sonra, saat 18:42 UTC’de kart bakiyelerindeki çekim sorunundan haberdar olduğunu duyurdu. Rain ise hatalı sözleşmenin tüm programlarda güncellendiğini ve izinsiz başka bir işlem gerçekleşmediğini açıkladı.
Canlı zincir üstü takipçiler, o gün öğleden sonra 653.000 doların üzerinde kayıp tespit etti ve bu rakam artmaya devam etti. En az bir zincir üstü araştırmacı, etkilenen hesap sayısının 9.000’i aştığını ve toplam kaybın 1 milyon doların üzerinde olduğunu bildirdi. Ancak Avici ve Rain’in açıkladığı ve DeFiLlama’nın hack veritabanında da doğrulanan kesin rakam, 1.685 kullanıcıya ait kart bakiyelerinde toplam 500.859,22 dolar kayıp olarak kayda geçti; ortalama kayıp yaklaşık 24 dolar oldu. Daha yüksek canlı rakamlar, farklı ölçüm yöntemlerinden kaynaklanıyordu: Kimi zaman çekilen ana para, kimi zaman saldırganın cüzdanındaki SOL’a çevrilen toplam değer baz alındı. Manşetlerde en yüksek rakam öne çıktı; doğrulanan rakam ise bunun yarısından azına denk geldi. Yalnızca canlı takipçilere güvenen bir yatırımcı, hırsızlığı olduğundan fazla, token üzerindeki zararı ise olduğundan az değerlendirmiş oldu.
Asıl önemli olan ise token’daki değer kaybı. AVICI, “mülkiyet” token’ı olarak tanımlanıyor: Yaklaşık 12,9 milyon sabit arzın %77,5’i, Ekim 2025’te yapılan bir satışta 0,35 dolardan halka sunuldu; lansmanda girişim sermayesi veya ekip tahsisi yapılmadı. Yönetişim, “futarchy” karar piyasaları üzerinden yürütülüyor ve projenin yarattığı değerin token sahiplerine yansıyacağı vurgulanıyor. Satıştan sonraki altı haftada piyasa, bu iddiayı Kasım ayı sonunda 7,60 dolara kadar fiyatladı. Ancak sonraki sekiz ayda bu kazançlar geri verildi. Cuma günü yaşanan %49,4’lük düşüş, token’ın güne yaklaşık 0,43 dolardan başladığını gösteriyor; bu seviye, zirveden yaklaşık %94 aşağıda. CoinGecko’nun haftalık verilerine göre AVICI, yedi günde %52,8 değer kaybederken, küresel kripto piyasası yaklaşık %6 yükseldi. Cuma günkü çöküş, Avici’ye özgü bir gelişmeydi; piyasa genelinden kaynaklanmadı.
Bu büyüklükte bir olayın, 3 milyon dolarlık bir token’ı neden bu kadar sert etkilediği de buradan anlaşılıyor. Cuma günü en düşük seviyede piyasa değeri yaklaşık 2,8 milyon dolara geriledi; doğrulanan kayıp, toplam token’ın yaklaşık altıda birine, canlı takipteki toplam ise neredeyse beşte ikisine denk geldi. Şirketin kendi verileriyle bakıldığında, Mart 2026’da yayımlanan son detaylı üçüncü taraf incelemesine göre Avici, aylık yaklaşık 3 milyon dolarlık kart harcaması işliyor ve bunun %1,9’u kadar bir pay alıyordu; bu da aylık yaklaşık 57.000 dolara karşılık geliyor. Cuma günü yaşanan kayıp, bu gelir akışının yaklaşık dokuz aylık kısmını sildi. Oysa bu gelir, token’ın “değerin sahiplerine yansıması” iddiasının temelini oluşturuyordu.
Avici, olay sonrası 1.685 etkilenen kullanıcıya tam iade sözü verdi ve bu açıklamanın ardından token fiyatı yaklaşık 0,31 dolara toparlandı. Ancak asıl soru, bu iadenin kaynağının ne olacağı. Şirket, kaynağı açıklamadı. Tasarım gereği, hazine ve elde tutulan kârlar DAO’ya, yani yönetişim oyu ile token sahiplerine ait. Eğer iade bu hazineden karşılanırsa, faturayı sahipler üstlenmiş olacak; bu da mülkiyetin kötü bir yıldaki anlamı. Üstelik burada düzenlenmiş bir bankanın sunduğu korumalar yok: Banka mevduatlarında olduğu gibi USDC için bir sigorta bulunmuyor, teminatı gösterecek bir bilanço açıklanmıyor, verilen sözün arkasında bir düzenleyici otorite yer almıyor. Bu asimetri — iyi yıllarda hisse benzeri haklar, kötü yıllarda ise ikincil haklar — %49’luk düşüşün asıl dersini oluşturuyor.
Kapsamı biraz daha genişletmek gerekirse, savunmasız sözleşme Rain’e aitti ve Rain, bu sözleşmenin Avici dışında “az sayıda başka programda” da kullanıldığını, ancak hepsinin güncellendiğini açıkladı. Yani sorun, kategorinin ortak altyapısında yer alıyordu ve Avici, sıradaki en küçük ve en az çeşitlendirilmiş projeydi. Hafta sonu Ethereum üzerinde faaliyet gösteren Ajna adlı kredi protokolü de farklı bir hata nedeniyle yaklaşık 775.000 dolarlık kayıp yaşadı. Bu kadar küçük bir token, kendi güvenlik açığını büyük bir protokolün tolere edebileceği gibi karşılayamıyor; çünkü fiyatlanan gelir beklentisi, saldırının hedef aldığı aynı gelir akışına dayanıyor.
Bu tabloyu güncelleyecek iki önemli gelişme bekleniyor. Birincisi, Avici’nin iade için kullanılacak kaynağı açıklaması. Eğer bu kaynak DAO hazinesi ise, futarchy piyasaları, sözleşmelerin yarattığı faturayı temizlemek için token sahiplerinin değerinden harcama yapılmasına fiilen oy verecek ve fiyat, bu yönetişimin değerini gösterecek. İkincisi ise, eski sözleşmenin kaç programda kullanıldığının açıklanması; çünkü bu sayı, olayın şirket bazlı mı yoksa kategori bazlı mı olduğunu belirleyecek. Bu bilgiler netleşene kadar, yatırımcıya kalan tek ders, manşetlerin 1,1 milyon dolar, doğrulanan kaydın ise 500.859 dolar olduğunu ve token’ın her iki durumda da %49 değer kaybettiğini bilmek.
Bu içerik hazırlanırken faydalanılan kaynaklar: ainvest.com
