Attaque Avici Solana Draine Plus Dun Million

Imaginez déposer vos cryptomonnaies en collatéral pour utiliser une carte de paiement et, quelques heures plus tard, découvrir que vos fonds ont disparu. Cest exactement ce qui se produit en ce moment sur la plateforme Avici, basée sur Solana. Plus dun million de dollars ont déjà été drainés des comptes de collatéral des utilisateurs, tandis que le token AVICI plonge vers un plus bas historique. Lhistoire est encore en cours, les chiffres évoluent, et de nombreuses questions restent sans réponse claire.

Une Attaque Qui Frappe Au Cœur Dune Plateforme De Carte Crypto

Avici se présente comme un portefeuille autocustodial relié à une carte Visa sécurisée. Les utilisateurs déposent des actifs numériques en collatéral et obtiennent une limite de crédit correspondante. Sur le papier, le concept séduit : garder le contrôle de ses fonds tout en profitant dun moyen de paiement classique. Pourtant, les événements récents remettent en cause cette promesse.

Selon les analyses on-chain disponibles, un portefeuille suspect a commencé à interagir avec les programmes dAvici dans laprès-midi. En quelques heures seulement, il a accumulé plus de dix mille SOL, soit environ un million soixante-dix mille dollars au moment du relevé, ainsi que plusieurs milliers de dollars en stablecoins. Les transferts individuels varient de quelques dollars à plus de vingt-six mille USDT.

Comment Lattaquant A Procédé Étape Par Étape

Les journaux de transactions Solana révèlent une séquence répétée sur de nombreux comptes. Tout commence par un appel à la fonction SubmitSignatures via le programme dautorisation dAvici. Cette étape saccompagne souvent de la vérification de signature Ed25519 native de Solana.

Ensuite vient lappel AddCollateralAdmin. Cest le moment clé. Lattaquant senregistre comme administrateur supplémentaire sur le compte de collatéral de lutilisateur. Une fois ce statut obtenu, la dernière étape devient presque mécanique : un appel WithdrawCollateralAsset transfère les fonds vers une adresse contrôlée par lassaillant.

Dans un exemple précis, plus de deux mille trois cents USDT ont quitté un compte de collatéral en une seule instruction. Lattaquant a également converti une partie des stablecoins récupérés en SOL, dont un échange qui lui a rapporté près de deux cent dix SOL.

La séquence est toujours la même : soumission de signatures, ajout dun administrateur, puis retrait du collatéral. Cest mécanique, rapide et difficile à arrêter une fois lancé.

Analyse on-chain citée par les observateurs

Au moment des premiers relevés, le portefeuille avait déjà signé plus de quatorze mille transactions, dont plusieurs milliers avaient échoué. Sur une fenêtre de onze minutes seulement, ses avoirs en SOL avaient augmenté de près de deux mille six cents tokens, soit environ deux cent soixante-dix-sept mille dollars supplémentaires.

La Réaction Officielle DAvici Et Les Zones Dombre

Avici a publié un message sur X un peu moins de deux heures après les premières transactions suspectes. Le ton restait prudent. La société reconnaissait un problème affectant les retraits de solde de carte et indiquait suivre la situation de près tout en collaborant avec ses partenaires.

Aucun chiffre de pertes nest confirmé par la plateforme. Aucune confirmation dun exploit technique non plus. Aucune précision sur le nombre dutilisateurs touchés. Aucune information sur une éventuelle suspension des programmes ou sur des mesures de compensation. Les utilisateurs, eux, avaient déjà commencé à signaler des soldes manquants sur les réseaux sociaux avant même ce communiqué.

Plusieurs interrogations majeures demeurent. Comment lassaillant a-t-il obtenu la capacité de soumettre des signatures valides ? Sagit-il dune faille dans le programme, de clés compromises, dune autorité de signature exposée, ou dun autre type de défaillance opérationnelle ? Pour linstant, ni Avici ni une société de sécurité indépendante na publié danalyse post-mortem.

Autocustodie Affichée Contre Réalité Technique

Avici insiste sur le caractère autocustodial de son produit. La fiche de lapplication sur lApp Store précise que les utilisateurs restent maîtres de leurs fonds et que la plateforme ne les détient jamais. Dans le modèle de la carte, les dépôts en collatéral servent de garantie et sont censés rester sous le contrôle du détenteur du portefeuille jusquà leur utilisation pour le règlement.

Pourtant, la capacité dajouter un administrateur puis de retirer le collatéral non dépensé soulève des doutes sérieux. Si un tiers peut modifier les droits dadministration et extraire les fonds, où se situe exactement la frontière de lautocustodie ? Cette question dépasse le simple incident technique. Elle touche à la promesse fondamentale du produit.

Les programmes concernés sont upgradeables et partagent la même autorité de mise à jour. Selon les observations, cette autorité serait un compte Solana standard et non un multisignature. Aucune preuve na encore démontré que cette autorité a été utilisée dans lattaque, mais le simple fait quelle existe dans cette configuration attire lattention des analystes de sécurité.

Un Contexte Plus Large De Risques Opérationnels

Cet incident ne se limite pas à une faille de code isolée. Depuis plusieurs mois, les analyses de sécurité montrent que les clés compromises, les signataires exposés et les failles dinfrastructure représentent une part dominante des fonds volés. Un rapport récent indiquait que ces vecteurs opérationnels avaient représenté près de 88 % des montants dérobés au cours dun trimestre, pour un total avoisinant les 764 millions de dollars.

Seule une minorité de projets combine audits, programmes de bug bounty actifs et surveillance tierce. Dans ce contexte, lévénement Avici sinscrit dans une tendance plus large où les contrôles opérationnels deviennent aussi critiques que la robustesse du code lui-même.

Dautres plateformes de paiement liées aux stablecoins ont également connu des mouvements suspects. Des sorties dépassant plusieurs millions de dollars avaient déjà été observées sur des portefeuilles liés à un autre prestataire, sans confirmation immédiate quant à limplication dactifs clients. Ces précédents rappellent que linfrastructure de paiement crypto reste un terrain sensible.

Le Token AVICI Plonge Vers Un Plus Bas Historique

Les nouvelles de lattaque ont rapidement impacté le marché du token. En vingt-quatre heures, AVICI a perdu près de 50 % de sa valeur, touchant un plus bas record autour de 0,2175 dollar. La capitalisation est tombée à environ 2,84 millions de dollars. Le volume de transactions sur la période a atteint un peu plus de 650 000 dollars, concentrés principalement sur un market maker automatisé et quelques plateformes dexchange.

Le contraste avec le plus haut historique est saisissant. Le token avait atteint 7,56 dollars fin novembre 2025. La chute du jour de lincident le laisse environ 97 % sous ce pic. Pour les détenteurs, la double peine est réelle : perte potentielle de collatéral et dépréciation brutale de lactif natif.

Avici Inc. est une société américaine enregistrée au Delaware et affichant une adresse à San Francisco. Elle propose des conditions spécifiques pour les clients américains, ce qui crée une exposition directe pour une partie de sa base dutilisateurs. La levée de fonds de 3,5 millions de dollars réalisée via une vente de tokens plafonnée en octobre 2025 avait déjà montré un fort engouement, avec plus de 7 000 contributeurs et des engagements initiaux bien supérieurs au plafond.

Ce Que Cela Change Pour Les Utilisateurs De Cartes Crypto

Les modèles de cartes adossées à des collatéraux on-chain gagnent en popularité. Ils promettent de combiner la liberté des cryptomonnaies et la praticité des réseaux de paiement traditionnels. Tangem avait déjà exploré une approche similaire avec du USDC dépensable tout en conservant la garde des fonds. Dautres acteurs suivent la même voie.

Lincident Avici met en lumière un risque structurel. Même lorsque le marketing insiste sur lautocustodie, la réalité technique dépend des programmes qui gèrent les collatéraux et les autorisations. Si ces programmes permettent dajouter des administrateurs ou de retirer des fonds sans le consentement explicite du propriétaire à chaque étape, la promesse devient fragile.

Pour les utilisateurs, plusieurs réflexes de prudence sadimposent. Vérifier les droits dadministration sur les comptes de collatéral. Surveiller les transactions inhabituelles. Limiter les montants déposés. Suivre de près les communications officielles en cas dincident. Ces gestes ne garantissent rien, mais ils réduisent la surface dexposition.

Un produit de paiement autocustodial ne peut se contenter daffirmer que les fonds restent sous le contrôle de lutilisateur. Il doit le prouver dans le code et dans les contrôles opérationnels.

Les Prochaines Étapes À Surveiller De Près

Plusieurs éléments seront déterminants dans les jours qui viennent. Dabord, la publication éventuelle dune analyse technique détaillée par Avici ou par une société de sécurité tierce. Ensuite, la confirmation ou non de la fin de lattaque et des mesures prises pour sécuriser les programmes. Enfin, la position de la société concernant les utilisateurs touchés et dune éventuelle compensation.

Le rôle de Rain, le partenaire mentionné dans la documentation pour linfrastructure de paiement stablecoin, reste également à préciser. Pour linstant, rien nindique que les systèmes de Rain ou de Visa aient été compromis. Les analyses disponibles pointent vers les programmes Solana dAvici.

Dans un écosystème où les attaques évoluent rapidement, la transparence devient un facteur de confiance aussi important que la technologie elle-même. Les utilisateurs attendent des réponses concrètes, pas seulement des messages de surveillance de la situation.

Pourquoi Cet Incident Résonne Au-Delà DAvici

Solana na pas été compromise. Lattaque cible des programmes spécifiques liés à une application de carte. Pourtant, chaque nouvel incident de ce type alimente les débats sur la maturité des contrôles de sécurité dans les applications DeFi et les produits de paiement. Les montants en jeu, même sils restent modestes à léchelle du marché global, affectent directement des utilisateurs individuels.

Les chiffres évoqués plus haut sur les causes des vols au deuxième trimestre 2026 rappellent une réalité : le code seul ne suffit plus. Les clés, les signataires, les processus de mise à jour et les contrôles daccès jouent un rôle central. Les projets qui négligent ces aspects exposent leurs utilisateurs à des risques disproportionnés.

Avici na pas encore livré toutes les pièces du puzzle. Tant que lorigine exacte de lautorisation utilisée par lassaillant nest pas établie, les spéculations continueront. Programme défaillant, identifiants compromis, autorité exposée : chaque hypothèse a des implications différentes pour la suite et pour la confiance des utilisateurs.

Les Leçons À Tirer Pour Lécosystème

Plusieurs enseignements se dégagent déjà. Premièrement, la clarté sur les droits dadministration et les mécanismes de retrait de collatéral est essentielle. Deuxièmement, lusage dautorités de mise à jour simples plutôt que de multisignatures augmente la surface de risque. Troisièmement, la communication en temps réel pendant un incident influence fortement la perception des utilisateurs.

Les projets qui proposent des produits mêlant collatéral on-chain et services de paiement hors chaîne doivent anticiper ces scénarios. Des mécanismes de pause, des limites de retrait, des alertes automatiques et des processus de réponse aux incidents deviennent des éléments de conception aussi importants que linterface utilisateur.

Pour les détenteurs de tokens, la volatilité liée aux incidents de sécurité reste un risque permanent. La chute de près de 50 % dAVICI en une journée illustre la rapidité avec laquelle le marché réagit aux nouvelles négatives, surtout lorsque les montants drainés dépassent le million de dollars.

Une Situation Toujours En Mouvement

Au moment où ces lignes sont écrites, lattaque était encore en cours selon plusieurs sources. Les trackers on-chain continuent de recenser les transferts. Les montants évoluent. Les utilisateurs partagent leurs expériences sur les réseaux. Avici promet des mises à jour dès que davantage dinformations seront disponibles.

Dans cet environnement, la prudence reste de mise. Les dépôts en collatéral sur des plateformes de carte crypto comportent des risques spécifiques liés aux programmes qui les gèrent. Comprendre ces mécanismes, même de façon approximative, aide à mieux évaluer son exposition.

Laffaire Avici ne se résume pas à un simple exploit. Elle pose la question de la cohérence entre le discours marketing sur lautocustodie et limplémentation technique réelle. Tant que cette cohérence nest pas démontrée de manière transparente, les utilisateurs ont des raisons de rester vigilants.

Les prochaines communications de la plateforme, ainsi que les analyses indépendantes qui pourraient suivre, détermineront si la confiance peut être restaurée. Pour linstant, les collatéraux manquants et la chute du token racontent une histoire bien plus concrète que les déclarations officielles.

Dans le monde des cryptomonnaies, les incidents de sécurité se multiplient sous des formes variées. Celui qui touche Avici rappelle que même les produits qui promettent de laisser les utilisateurs en contrôle de leurs fonds peuvent, dans certaines configurations, permettre à un tiers dintervenir. Cest cette contradiction qui rend lévénement particulièrement préoccupant pour tous ceux qui utilisent ou envisagent dutiliser des cartes adossées à des collatéraux numériques.

La suite de cette affaire mérite dêtre suivie de près. Les montants en jeu, le mode opératoire documenté et les questions non résolues en font un cas détude potentiel pour la sécurité des applications de paiement sur Solana et au-delà. Les utilisateurs, de leur côté, continueront de demander des réponses précises et des actions concrètes.

En attendant, le message le plus clair qui émerge de cette situation reste celui de la prudence. Déposer des fonds en collatéral implique de comprendre non seulement le rendement ou la limite de crédit obtenue, mais aussi les mécanismes techniques qui protègent ou, dans le pire des cas, exposent ces fonds. Lexpérience Avici montre à quel point cette compréhension peut devenir cruciale en quelques heures seulement.