Rain Card Açığı, Solana (SOL) Üzerindeki Avici Kullanıcılarından 500.859 Dolar Süpürdü

Rain Card Sözleşmeleri Ele Geçirildi

Solana (SOL) ağında kart hizmeti sunan neobank Avici'nin 1.685 kullanıcısının kart bakiyelerinden 500.859,22 dolar, hizmeti çalıştıran stabilizecoin teminatlı kart platformu Rain'in altyapısının ihlal edilmesi sonucu boşaltıldı. Saldırı 28 Ağustos'ta gerçekleşti ve Rain'in iki ortağını — Avici ile benzer kart sağlayıcısı Tria'yı — aynı anda vurdu; ancak hasar büyük ölçüde Avici'de toplandı. Her iki şirket de kullanıcıların kendi kendilerine sakladığı (self-custody) Solana ve EVM cüzdanlarının dokunulmadığını doğruladı: hırsızlık, kart harcama bakiyelerini tutan ayrık sözleşmelerle sınırlı kaldı. Bu yapıda kullanıcılar USDC veya USDT gibi stabilcoinleri, harcanabilir kart limitlerini yöneten özel bir Solana ağı sözleşmesine yatırıyor.

Olayı inceleyen zincir üstü güvenlik araştırmacıları, saldırganın sahte imza verileri kullanarak kullanıcıların kart bakiyesi sözleşmelerinde yetkisiz yönetici (admin) yetkileri oluşturduğunu ve ardından fonları çektiğini belirtiyor. Kritik zafiyet, dönüştürülmesi gerekirken canlı bırakılan eski sürüm sözleşmelerde yatıyordu. Rain bu arada etkilenen sözleşmelerde güncellemeleri tamamlayarak akışı durdurdu ve ihlali eski Solana sözleşmelerindeki bir açığa bağlıyor — ne var ki resmi bir teknik kök-neden raporu henüz yayımlanmadı; biz bu boşluğu örterek değil, açıkça işaret ederek not ediyoruz. Tria tarafında kart bakiyelerindeki Ethereum EVM varlıklarının güvende olduğu açıklandı. Avici, FBI'ın İnternet Suç Şikayet Merkezi'ne (IC3) suç duyurusunda bulundu. Çalınan fonlar zincir üstü takibe göre Ethereum'a köprüllendi — herhangi bir Layer 2 güzergâhı yerine ana ağ (mainnet) rayları üzerinden taşındı — ve çok sayıda transferle Tornado Cash'e yönlendirildi. Sosyal medyada, Circle'ın çalınan USDC'yi dondurmamasına yönelik eleştiriler yayıldı. Rain, Avici ve Tria etkilenen kullanıcılara tam iade sözü verdi; ancak ödeme takvimi veya fon kaynağı açıklanmış değil.

GOLD Memecoin'inde Sıfırlanma

Kart saldırısı yaşanırken ekosistemin spekülatif tarafında ayrı bir Solana hikâyesi traderları yaktı. GOLD adlı Solana tabanlı bir memecoin, piyasa değerindeki hızlı yükselişin ardından kısa bir süre içinde yüzde 90'dan fazla çöktü; zincir üstü veriler, Emxhs...euZMP adresinin en sert kayıpların bir bölümünü yuttuğunu gösteriyor. Adres, token'ın piyasa değeri 40 milyon doların altındayken 72.700 dolarlık bir pozisyon kurdu; ardından projeye ilişkin bir tanıtım gönderisi silinip hırsızlık söylentileri dolaşmaya başladıktan sonra bile 18.100 dolar daha ekledi. Toplam maliyeti 90.000 doların üzerine çıktı, gerçekleşen zarar şu an 82.400 dolar seviyesinde — yani elindeki varlıklar, yatırdığı tutarın yüzde 90,7 altında.

Aynı izleme penceresi başka kırmızı bayraklar da ortaya çıkardı. Zirveye yakın alan bir kullanıcı, likidite buharlaşırken yalnızca yedi dakikada 62.100 dolar kaybetti — bir otomatik piyasa yapıcının havuzu tek taraflı kaldığında ve derinlik yok olduğunda yaşanan kayma tam olarak budur. Daha yapısal olarak, analiz topluluğunda dolaşan veriler GOLD ekibinin arzın yüzde 82,45'ini kontrol ettiğini ve geliştirici cüzdanının 600 milyon token tuttuğunu gösteriyor. Bu kadar yoğun bir dağılım, tek bir satıcının fiyatı düzleşebileceği anlamına geliyor; izleme aracının kendisi de adres düzeyindeki verilerin davranışı gösterdiğini ancak cüzdan sahibinin niyetini doğrulamadığını hatırlatıyor. Ders, yön belirlemeden çok yapıyla ilgili: hızlı hareket eden tokenlarda hikâyeden çok sahibi yoğunluğunu ve havuz derinliğini kontrol etmek önceliklidir. Piyasayı gerçek zamanlı izleyen okurlar canlı spot ve vadeli fiyatları Bybit üzerinden takip edebilir.

Solana'da Tüketici Riski Gündemde

Sonraki haber akışı zarar tablosunu genişletti: aynı güncel olmayan Rain sözleşme sürümünün, Solana tabanlı birkaç programdan toplamda yaklaşık 1,1 milyon dolar çektiği anlaşılıyor; bu da Avici'nin yaklaşık 500.800 dolarlık payının ötesinde hedefler olduğuna işaret ediyor. Tria, 636 kullanıcısının 430.000 dolardan fazla zarar ettiğini açıkladı ve token'ı bir noktada yüzde 10'dan fazla düştü; kalan etkilenen programların kimliği ve zararları ise henüz açıklanmadı. Piyasa tepkisi sert oldu — AVICI token'ı 24 saatlik zirvesinden yüzde 49 gerileyerek 0,217 dolar civarında rekor düşük gördü, ardından 0,30–0,38 dolar bandına toparlandı; bu, Kasım 2025'teki 7,61 dolarlık zirvesinden yüzde 96'nın üzerinde bir düşüş anlamına geliyor. Zincir üstü veriler, saldırgan cüzdanında yaklaşık 10.005 SOL — kabaca 1,07 milyon dolar — ve buna ek 11.600 dolar stabilcoin bulunduğunu gösteriyor. Ayrı bir gelişmede, Ethereum borç verme protokolü Ajna, 29 Ağustos'ta likidasyon-hesap manipülasyonu nedeniyle yaklaşık 775.000 dolar kaybettiğini bildirerek soruşturma sürerken kullanıcılara fonlarını çekmeleri çağrısında bulundu.

(02:57 UTC itibarıyla) İki olay birlikte, risk yelpazesinin iki ucundan aynı yayı çiziyor: Solana'nın tüketici katmanı, operasyonel güvenlik önlemlerinden daha hızlı büyüyor. Kart ihlali zincir üstünde doğrulanabilir durumda — boşaltılan tutar sabit ve fonlar Tornado Cash'e kadar izlenebiliyor; ancak Rain'in kesin olay-sonrası raporu hâlâ bekleniyor ve iade koşulları belirsiz. Memecoin tarafında ise yüzde 82,45 ekibin elinde olan bir arz, yoğun dağılımların her zaman yaptığını yaptı. Bizim okumamız şu: perakende sermaye Solana'nın tüketici raylarına dokunmadan önce en kritiki iki inceleme artık saklama mimarisi ve token dağılım denetimleri.