Seorang penyerang mengeksploitasi kontrak kartu Rain yang sudah usang pada 28 Agustus, menguras sekitar $1,1 juta dari beberapa program kartu stablecoin yang beroperasi di Solana, menurut perusahaan keamanan blockchain Blockaid.
Avici dan Tria adalah di antara neobank kripto yang terpengaruh. Kedua perusahaan tersebut mengungkapkan kerugian gabungan lebih dari $932.800 di antara 2.321 pengguna. Blockaid mengatakan program lain yang didukung Rain juga terekspos, sehingga total kerugian diperkirakan mencapai sekitar $1,1 juta.
Penyerang tidak mengakses dompet self-custodial atau kunci privat pelanggan. Sebaliknya, eksploitasi menargetkan kontrak jaminan yang menampung stablecoin yang telah disetorkan pengguna untuk mendanai saldo kartu mereka.
Rain mengatakan sistem pemantauannya menemukan kerentanan yang mempengaruhi "sejumlah kecil program" yang menggunakan versi usang dari kontrak kartu Solana-nya. Perusahaan tersebut meningkatkan setiap program yang masih menjalankan versi yang terpengaruh, sesuai dengan pernyataan publiknya.
Insiden ini menambah kekhawatiran yang lebih luas tentang kerentanan kontrak dan operasional. Kegagalan keamanan kripto menyebabkan kerugian sekitar $1,1 miliar selama paruh pertama tahun 2026, menurut penelitian yang diterbitkan oleh Blockaid.
Rain menyediakan infrastruktur yang memungkinkan perusahaan kripto menerbitkan kartu yang didanai dengan stablecoin. Ketika pelanggan mendanai kartu mereka, aset yang disetorkan berpindah ke akun jaminan yang dikelola melalui kontrak on-chain.
Saldo ini terpisah dari aset yang disimpan di dalam dompet pribadi pelanggan. Setelah dana masuk ke kontrak jaminan kartu, keamanannya bergantung pada kode penyedia infrastruktur dan kontrol otorisasi.
Blockaid mengidentifikasi empat penerapan yang berisi kode dengan hash opcode yang sama dengan kontrak yang rentan. Perusahaan keamanan tersebut mengatakan penyerang menguras setidaknya dua penerapan. Dua lainnya dilaporkan memiliki kerentanan yang sama tetapi tidak ada kerugian yang dikonfirmasi.
Rain mengkonfirmasi bahwa kontrak yang sudah usang menyebabkan insiden tersebut. Namun, mereka belum menerbitkan laporan teknis lengkap yang mengidentifikasi setiap penerapan yang terpengaruh atau menjelaskan mengapa beberapa program terus menggunakan versi yang lebih lama.
Situasi ini menyerupai insiden lain di mana infrastruktur yang usang atau berulang kali rentan tetap aktif. Dalam liputan terkait, penyerang mengeksploitasi kontrak jembatan Verus yang sama dua kali dalam dua bulan, menimbulkan pertanyaan serupa tentang peningkatan di seluruh penerapan bersama.
Insiden Rain tidak mewakili kompromi terhadap Solana itu sendiri. Blockchain terus memproses transaksi secara normal sementara penyerang mengeksploitasi kode aplikasi yang diterapkan di jaringan.
Kontrak Rain yang sudah usang memerlukan dua otorisasi independen sebelum mengizinkan tindakan akun tertentu. Kontrak tersebut menggunakan instruksi verifikasi Ed25519 Solana untuk mengkonfirmasi tanda tangan yang diperlukan.
Menurut analisis Blockaid, penyerang memanipulasi instruksi verifikasi kedua. Tanda tangan, kunci publik, dan offset pesan tersebut menunjuk kembali ke informasi yang terkandung dalam instruksi pertama.
Oleh karena itu, kontrak yang rentan menerima satu tanda tangan yang dikendalikan penyerang sebagai dua persetujuan independen. Ini memungkinkan penyerang untuk memenuhi persyaratan otorisasi tanpa izin dari pemilik akun jaminan.
Setelah melewati pemeriksaan tanda tangan, penyerang menggunakan instruksi AddCollateralAdmin untuk memberikan dirinya hak administratif atas akun individu. Kemudian, ia memanggil WithdrawCollateralAsset untuk mentransfer USDC dan USDT dari akun-akun tersebut.
Blockaid mencatat 2.945 penambahan administrator dan 5.288 panggilan penarikan. Perusahaan tersebut mengidentifikasi 8.233 transaksi eksploitasi inti selama kurang lebih dua jam 29 menit.
Operasi tersebut berjalan dengan kecepatan otomatis. Blockaid mengatakan dua penarikan sukses pertama terjadi dengan selisih tiga detik, menunjukkan bahwa penyerang telah menyiapkan sistem untuk menargetkan banyak akun.
Pelanggan tidak mengizinkan transaksi berbahaya tersebut. Eksploitasi terjadi pada tingkat kontrak, yang berarti perlindungan terhadap phishing atau tanda tangan dompet berbahaya tidak akan mencegah penarikan ini.
Kelemahan tingkat aplikasi yang berbeda baru-baru ini mengekspos protokol lain ketika kontrol jaminan yang salah memungkinkan eksploitasi DeFi senilai $75 juta. Dalam kedua kasus tersebut, jaringan yang mendasari terus beroperasi sementara logika aplikasi mengizinkan aktivitas tidak sah.
USDC dan USDT yang ditarik terakumulasi dalam satu dompet Solana yang diidentifikasi sebagai FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.
Penyerang menukar stablecoin dengan SOL melalui platform perdagangan terdesentralisasi. Blockaid kemudian melacak hasilnya dari Solana ke Ethereum melalui protokol lintas-rantai deBridge.
Sekitar 455,9 ETH masuk ke Tornado Cash antara pukul 19:20 dan 19:49 UTC, menurut Blockaid. Tornado Cash mengumpulkan deposit dan mengizinkan penarikan ke alamat yang tidak terhubung secara publik dengan dompet pengirim asli.
Oleh karena itu, mixer tersebut membuat pergerakan selanjutnya lebih sulit dilacak melalui catatan blockchain publik. Blockaid mengatakan dana curian belum berhasil dipulihkan setelah masuk ke Tornado Cash.
Penggunaan infrastruktur lintas-rantai menambah tahapan lain dalam rute pencucian. Jembatan kripto juga menjadi target langsung, dengan eksploitasi transfer palsu yang menguras $11,5 juta dari jembatan Verus Ethereum sebelumnya pada tahun 2026.
Blockaid menghubungkan dua alamat Ethereum dengan pembiayaan awal aktivitas penyerang Rain di Solana. Baik Rain maupun otoritas penegak hukum belum secara publik mengidentifikasi orang-orang yang mengendalikan alamat-alamat tersebut.
Pernyataan perusahaan tentang deteksi serangan dan pelacakan dana mewakili temuan mereka sendiri. Blockaid menyediakan layanan keamanan dan pemantauan untuk perusahaan kripto, termasuk penerbit kartu stablecoin.
Avici melaporkan bahwa penyerang mengambil $500.859,22 dari saldo kartu milik 1.685 pengguna. Perusahaan tersebut mengatakan telah mengembalikan dana kepada semua pelanggan yang terpengaruh dan memberikan cashback 10% setelah insiden tersebut.
Tria mengungkapkan kerugian sekitar $431.945 di antara 636 pelanggan. Dikatakan dalam pembaruan resmi bahwa setiap pelanggan yang terpengaruh akan diganti rugi.
Kedua pengungkapan tersebut menyumbang $932.804,22 dari perkiraan kerugian. Blockaid juga menyebut Solayer Pay sebagai program yang terpengaruh, tetapi tidak ada angka yang terverifikasi secara independen untuk kerugiannya yang tersedia.
Perbedaan antara kerugian Avici dan Tria yang diungkapkan serta perkiraan Blockaid sebesar $1,1 juta tampaknya melibatkan program lain yang didukung Rain. Rincian lengkapnya belum dipublikasikan.
Token Avici turun 49% dari level tertingginya setelah laporan eksploitasi muncul, menurut data pasar. Token tersebut mencapai level terendah yang dilaporkan sebesar $0,217 sebelum pulih sebagian. Token Tria juga turun lebih dari 10% pada satu titik.
Pergerakan harga tersebut mengikuti laporan publik tentang serangan itu, meskipun kondisi pasar yang lebih luas mungkin juga telah mempengaruhi perdagangan.
Rain mengatakan semua program kartu yang menggunakan kontrak yang sudah usang telah ditingkatkan. Perusahaan tersebut melaporkan tidak ada aktivitas tidak sah tambahan setelah menyelesaikan perubahan.
Dikatakan juga bahwa pengguna yang terpengaruh akan mendapatkan penggantian penuh. Rain belum mengungkapkan apakah akan mengganti rugi program kartu secara langsung atau apakah penyedia individu yang akan menanggung biayanya.
Beberapa pertanyaan masih belum terjawab. Rain belum merilis riwayat versi lengkap kontrak yang rentan, tanggal kerentanan diperkenalkan, atau alasan penerapan yang lebih lama tetap aktif.
Perusahaan tersebut juga belum mengungkapkan apakah audit mengidentifikasi cacat otorisasi sebelum serangan. Tidak ada pemulihan dana yang disetorkan ke Tornado Cash yang telah dilaporkan secara publik.
Episode ini memperbarui pertanyaan tentang apakah audit berkala memberikan perlindungan yang cukup setelah kontrak masuk produksi. Penelitian industri terbaru menemukan bahwa institusi semakin menginginkan pemantauan berkelanjutan di samping audit keamanan tradisional, terutama untuk kontrak yang menampung aset pengguna.
Laporan teknis terperinci akan memungkinkan peneliti luar untuk mengkonfirmasi kerentanan dan menentukan apakah kode serupa tetap aktif di tempat lain. Penyedia kartu juga dapat meninjau bagaimana mereka melacak versi kontrak dan membatasi izin administratif di seluruh infrastruktur bersama.
Pengguna dapat mempertahankan kendali atas dompet pribadi mereka sambil tetap menghadapi risiko setelah menyetorkan dana ke program kartu. Keamanan saldo tersebut bergantung pada kontrak yang menampung jaminan, penyedia yang memeliharanya, dan operator yang merespons ketika kerentanan muncul.
