Rain 的 Solana 加密信用卡合約被發現過期漏洞，攻擊者透過偽造授權提款共 110 萬美元。Avici 與 Tria 兩家自建銀行受創最深，Avici 代幣 24 小時內跌近半，兩家皆承諾全額退款。
（前情提要：Solana 最大 DEX 聚合器》Jupiter 推出鏈上 Visa 卡：USDC 充值零手續費，目標轉型去中心化新銀行）
（背景補充：Ether.Fi 完整教學：最強信用卡全通路3%回饋、USDT直接支付、臺灣實測…）
Solana 加密信用卡基礎設施商 Rain 旗下合約遭駭客利用漏洞竊取約 110 萬美元，波及 Avici、Tria 等至少兩家自建銀行。Avici 宣布 1,685 名使用者損失 500,800 美元，Tria 則有 636 名使用者損失逾 43 萬美元，兩家皆承諾全額退款。
漏洞源於過期合約，攻擊者把自己加為管理員
根據 Avici 官方公告，攻擊源於 Rain 提供的一筆過期合約版本。Avici 使用該合約版本來管理使用者為信用卡充值後的資金，而攻擊者利用了合約的許可權漏洞。
鏈上交易資料顯示，攻擊者反覆提交一筆已簽署的授權（signed authorization），將自己的地址新增為個別卡抵押帳戶（card-collateral accounts）的管理員（administrator），再逐一提取帳戶內的餘額。
Rain 表示，其監控系統已識別該漏洞，並升級所有仍執行該合約版本的程式，確認無進一步未授權活動。
資金流向：USDC → SOL → 跨鏈至以太坊 → Tornado Cash
被盜資金主要為穩定幣 USDC。攻擊者將其兌換為 Solana（SOL），再透過跨鏈橋（bridge）轉移至以太坊，最後送入混幣器 Tornado Cash 進行洗錢。
鏈上追蹤到的總金額約 110 萬美元，比 Avici 單獨報損的 500,800 美元多出約 60 萬，顯示還有其他使用 Rain 基礎設施的程式也遭到波及。兩家公司皆未公開其他受影響的專案名稱及各別損失金額。
Avici 代幣腰斬，Tria 代幣跌 10%+
訊息傳出後，Avici 的代幣 AVICI 在 24 小時內從高點 0.43 美元暴跌至歷史新低的 0.217 美元，跌幅達 49%，後續稍微回穩至約 0.305～0.378 美元區間。
Tria 的代幣也受到波及，一度下跌超過 10%，但跌幅遠小於 Avici。
- Avici：1,685 名使用者受影響，損失 500,800 美元，代幣跌 49%
- Tria：636 名使用者受影響，損失逾 430,000 美元，代幣跌逾 10%
- 總損失：約 110 萬美元（鏈上追蹤），含其他未公開 Rain 合作夥伴
「自建銀行」的託管盲點：錢包安全，但充值合約不安全
Avici 強調，此次攻擊僅限於使用者為信用卡充值後存放於 Solana 合約內的資金，其自建錢包在 Solana 和以太坊相容網路上的資金未受影響。
但這就是加密信用卡「自建銀行」模式的核心風險：使用者以為資金始終在自己的錢包裡，實際上為了完成刷卡消費，充值資金會轉移到第三方支付合約中。這個託管交接點（custody handoff）一旦出現合約漏洞，使用者的充值資金就暴露在第三方風險下。
Avici 的條款中，信用卡的發卡機構為 Third National Bank，而 Rain 作為 Visa 主要成員，提供底層的穩定幣信用卡基礎設施。Avici 與 Tria 更像是基於 Rain 合約的「前端應用」，一旦底層合約有漏洞，上層專案方必須承擔賠償責任。
後續：已報 FBI，退款時程未定
Avici 已向聯邦調查局網路犯罪投訴中心（FBI IC3）提交報告，但尚未說明退款時程或資金來源。
Rain 方面則沒有進一步的公開宣告，僅表示合約漏洞已修復。這次事件顯示，加密信用卡市場在擴張速度與合約審計之間仍有落差，特別是多家專案共享同一套基礎設施時，單點故障的連鎖效應不容忽視。
加密信用卡的基礎設施風險，不只發生一次
加密信用卡在 2026 年快速擴張，Jupiter、Ether.fi、Avici、Tria 等專案紛紛推出 Visa 卡或類似的消費服務。但這次事件提醒市場，「去中心化」的錢包體驗與「中心化」的信用卡基礎設施之間存在本質矛盾。
使用者充值的穩定幣被鎖在第三方支付合約中，合約若由單一機構維護且未定期審計，就會成為駭客的標靶。特別是 Rain 這類提供白標（white-label）基礎設施的專案，其合約一旦出事，所有合作夥伴都會受波及，這次只是 110 萬美元，若發生在大規模採用後，損失可能遠超這個數字。
後續值得觀察的幾個問題：Avici 和 Tria 的退款是否會導致流動性危機？Rain 是否會面臨合作夥伴的合規追責？監管機構是否會因為此次事件重新審視加密信用卡的託管架構？
📍相關報導📍
Solana 最大 DEX 聚合器》Jupiter 推出鏈上 Visa 卡：USDC 充值零手續費，目標轉型去中心化新銀行
