【2026年8月31日追記】本記事公開後、Rainが正式に補填完了を発表しました。Avici・Tria合計2,321人（Avici 1,685人・Tria 636人、被害額合計約93万ドル）全員に対し、Rain・両社が全額返金＋10%上乗せでの補填を完了したことが確認されています。当初「Aviciは対応が遅れている」としていた記述は現在の状況とは異なるため、下記の通り更新しています。
2026年8月28日、Solana系の仮想通貨ネオバンク「Avici」で約50万ドル（1,685人分のカード残高）が流出する事件が発生しました。原因はAvici自体ではなく、カード発行インフラを提供するパートナー「Rain」が使っていた旧バージョンのカード用スマートコントラクトの脆弱性です。同じRainの基盤を利用する「Tria」でも被害が報告されており、複数の仮想通貨カードサービスを横断する事件になっています。何が起きたのか、各社の対応の違い、そして「被害に遭ったカードを今後も使い続けていいのか」を整理します。
結論：被害者は全額＋10%で補填済み。原因はRainの旧Solana用コントラクト
Avici（1,685人・約50万ドル）とTria（636人・約43万ドル）の被害は、両社とも流出額の全額に10%を上乗せして補填を終えています。原因はカード発行基盤「Rain」の古いSolana用コントラクトで、Rainは該当するプログラムをすべて更新したと説明しています。カードを選ぶときは、発行基盤がどこか、有事の補填実績があるか、残高を置きすぎない運用ができるかの3点を確認しましょう（出典：crypto.news、2026年9月25日確認）。
カードを選び直す場合は、日本で申し込めるカードを還元率・手数料と「トラブルのときに資産がどうなるか」で比べた仮想通貨クレジットカード比較を参考にしてください（2026年10月1日時点で、Triaカードは3位、Aviciは還元がないため参考扱い）。
何が起きたか：Rainのカード用コントラクトの脆弱性
Avici、Tria、Exa Card、Lava Card、Plasma One Card、Tangem Payなど、複数の仮想通貨カードサービスは、カードの発行・決済インフラを「Rain」という共通の基盤に委託しています。今回の事件は、Rainが提供していた旧バージョンのSolanaカード用コントラクトに脆弱性があり、攻撃者がAviciの認証プログラムの署名処理（SubmitSignatures）を経由して担保プログラムの管理者権限（AddCollateralAdmin）を不正に取得し、担保資産を引き出す（WithdrawCollateralAsset）という手順で資金を抜き取ったとされています。Aviciのプログラムはアップグレード権限が単一のアカウントに紐づいており、マルチシグ（複数署名による承認）になっていなかった点も被害を広げた要因として指摘されています。
Rainは「古いバージョンのコントラクトを使っていた少数のプログラムに影響した」「影響を受けたプログラムはすべて更新し、その後の不正な動きはない」と説明しています（crypto.news）。盗まれたのはカード残高を預けていた担保用コントラクトの資金で、利用者の自己管理ウォレットや秘密鍵は影響を受けていません。
Avici：50万ドル超が流出、全額＋10%で補填完了
Aviciは公式発表で、1,685人のユーザーから合計50万859.22ドル相当のカード残高が流出したことを認め、影響を受けた全ユーザーへの全額返金を約束しました。FBIのインターネット犯罪苦情センター（IC3）にも報告済みです。公開当初は返金スケジュールが未発表でしたが、その後Rain・Aviciより、流出額に10%を上乗せした金額での補填が完了したと発表されています（SpendNode）。
Triaも636人が被害、両社とも10%上乗せで補填完了
同じくRain基盤の脆弱性で、Triaでも636人のユーザーが被害を受け、損失額は43万ドル超（43万1,945ドル）にのぼりました（crypto.news）。Avici・Tria合計では2,321人・約93万ドルという規模になります。Triaは早い段階で、影響を受けたユーザーに対し流出額に10%を上乗せした金額での補填を実施。Aviciも当初は返金スケジュールが未発表でしたが、その後Rain経由で同様に全額補填＋10%上乗せが完了したことが確認されています。結果としては両社とも「有事にきちんと補填を実行した」事例になりましたが、公表のスピード・具体性という点ではTriaの方が早く、透明性の高い発信をしていた点は評価に値します。
| 項目 | Avici | Tria |
|---|---|---|
| 被害者数 | 1,685人 | 636人 |
| 流出額 | 50万859ドル | 43万1,945ドル |
| 原因 | Rainの旧Solana用カードコントラクト | 同左 |
| 補填 | 全額＋10%（完了） | 全額＋10%（完了） |
| 補填の公表 | 当初は日程未定、のちに完了を発表 | 早い段階で10%上乗せ補填を実施 |
| 利用者のウォレット・秘密鍵 | 影響なし | 影響なし |
出典：crypto.news、SpendNode（2026年9月25日確認）。合計は2,321人・約93万ドル。同じ事件でSolayer Payなどほかのプログラムにも被害があり、全体では約110万ドルと報じられています。
Triaカードの還元率・手数料・日本での使い方はTriaカードの解説記事で詳しくまとめています。
ハッキングされたカードは今後も使い続けていいのか
結論から言うと、修正と補填が済んだカードは、必ずしも「もう使えない」わけではありません。今回の脆弱性は「特定バージョンのカード用コントラクト」に起因するものであり、Avici・Rain側はすでに該当コントラクトを全プログラムでアップグレード済みと説明しています。修正後に新たな不正引き出しは確認されていません。そのため、修正が完了し、かつ運営から明確な説明と補填（または補填の具体的な計画）が示されているカードについては、必ずしも「もう使えない」というわけではありません。判断のポイントは次の3点です。
- 脆弱性の修正が完了し、運営から技術的な説明があるか（Aviciは修正済みと説明）
- 被害への補填が「約束」で終わっていないか、実際に実行されているか（今回はAvici・Triaとも全額＋10%の補填を実行済み。Triaの方が早かった）
- カードに滞留させる金額を必要最小限にとどめられているか（今回のような基盤側の脆弱性は、利用者側の注意だけでは防げないため、日常的にカード残高を大きく持たない運用が有効）
代替として検討したいカード
今回の脆弱性は、Rainが提供していた古いSolana用のカードコントラクトに起因するものでした。ただし「Rainが関わっていないカード」を探すのは簡単ではありません。訂正：本記事の公開当初、ether.fi CashカードをRainとは異なる仕組みのカードとして紹介していましたが、ether.fi CashもRainの基盤で発行されているカードです（Rainの導入事例（ether.fi））。ether.fi Cashは、資金を利用者自身が管理するSafe（自己管理型のスマートコントラクトウォレット）に置いたまま決済に使う設計で、今回被害が出たSolana用コントラクトとは別の仕組みです。KASTカードは、Rainとの提携を公式情報で確認できていません（2026年9月25日時点）。各カードの発行元・還元率・日本での申し込み可否は次の表のとおりです。ただし、どのカードにも運営会社固有のリスクは存在するため、「基盤が違うから絶対安全」というわけではない点には留意してください。
| カード | Rainとの関係 | 今回の被害 | 日本居住者 |
|---|---|---|---|
| Tria | Rain基盤 | あり（全額＋10%で補填済み） | 利用可能（Triaの禁止国リストに日本なし） |
| Avici | Rain基盤 | あり（全額＋10%で補填済み） | 公式情報で未確認 |
| ether.fi Cash | Rain基盤（Safeで自己管理する別の仕組み） | 報告なし | 利用可能 |
| KAST | 公式情報で確認できず | 報告なし | 利用可能 |
出典：crypto.news、Rainの導入事例（ether.fi）、各社公式情報（2026年9月25日確認）。日本での利用可否は申し込み前に各社の公式アプリで確認してください。
日本居住者が申し込める仮想通貨カードを還元率・手数料・月の上限で比べたい人は、仮想通貨クレジットカード比較（ランキング10選）を確認してください。個別のカードはether.fi Cashの解説、KASTカードの解説で詳しく説明しています。
まとめ
今回の事件は、カード発行を裏側で支える共通インフラ（Rain）の脆弱性が、Avici・Triaという複数のサービスに同時に波及した点が特徴です。個々のサービスのセキュリティ対策だけでなく、「裏側で誰が発行インフラを担っているか」まで意識することが、仮想通貨カード選びの新しい視点になりそうです。最終的には両社とも全額補填＋10%上乗せという形で対応を完了しましたが、公表の速さ・透明性には差があった点は、有事の際の運営姿勢を見極める材料として覚えておく価値があります。
