Aanvaller steelt $1,1 miljoen van cryptobetaalkaarten

Een onbekende aanvaller heeft circa $1,1 miljoen gestolen van klanten met een betaalkaart bij cryptoneobanken.

De aanval trof op 28 augustus 2026 infrastructuur van Rain, het bedrijf dat voor cryptoapps de uitgifte van betaalkaarten en stablecoinbetalingen verzorgt. Twee apps die daarop draaien, de cryptoneobanken Avici en Tria, meldden samen 2.321 getroffen gebruikers: 1.685 bij Avici met circa $501.000 aan kaarttegoed, en 636 bij Tria met circa $432.000 - samen circa $933.000.

Het bedrag van circa $1,1 miljoen heeft een ruimere reikwijdte. Het is een schatting van geldstromen over meerdere programma's die de Rain-infrastructuur gebruikten. Welke andere programma's geld verloren en waaruit het volledige bedrag bestond, is niet bekendgemaakt.

Aanvaller gaf zichzelf rechten

Wie bij deze neobanken met een kaart wil betalen, zet geld over naar een kaartcontract: een programma op de Solana-blockchain dat het kaarttegoed bewaart en de regels voor uitgaven afdwingt. De aanval trof een verouderde versie van dat contract. Volgens de reconstructie van nieuwssite The Defiant gaf de aanvaller zichzelf daar adminrechten en nam vervolgens de saldi op.

De gewone wallets van klanten bij Avici en Tria bleven buiten de getroffen laag. Dat onderscheid is belangrijk: gebruikers behielden de controle over hun normale wallet, maar kaarttegoeden stonden onder de regels van het contract van Rain. Niet vastgesteld is hoeveel klanten tijdens het incident tijdelijk niet bij hun kaart of kaarttegoed konden.

Rain zei dat zijn controles de kwetsbaarheid ontdekten. Alle programma's op de verouderde contractversie zouden daarna zijn bijgewerkt, waarna geen nieuwe ongeautoriseerde activiteit is gezien.

De route van de buit

The Defiant reconstrueerde de aanval aan de hand van één Solana-wallet. Die werd volgens de reconstructie om 15:40 uur Nederlandse tijd gevuld met nog geen twee SOL aan startgeld, riep vanaf 18:49 uur de kaartcontracten aan en ondertekende 14.672 transacties, waarvan er 2.344 mislukten. Om 21:02 uur verstuurde de wallet 10.000 SOL, toen volgens The Defiant circa $1,07 miljoen. Om 21:26 uur viel hij stil. Die verzending en dat eindtijdstip staan op de blockchain en zijn door de redactie gecontroleerd.

Volgens CoinDesk werden gestolen tegoeden omgewisseld naar solana, overgebracht naar Ethereum en uiteindelijk door de cryptomixer Tornado Cash gestuurd.

Vergoeding toegezegd

Avici en Tria beloofden alle getroffen kaarttegoeden te vergoeden. Een woordvoerder van Rain zei tegen The Defiant dat Rain en zijn partners de gebruikers binnen 24 uur hadden gecompenseerd.

Rain schakelde naar eigen zeggen externe onderzoekers in en wil samenwerken met opsporingsdiensten en toezichthouders. Avici meldde het incident bij het Internet Crime Complaint Center van de FBI. Zo'n melding betekent niet automatisch dat een strafonderzoek is geopend.

Voor wie het op de blockchain wil naslaan: de wallet die The Defiant als de centrale aanvallerswallet aanwijst is FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.