【2026年8月31日追記】本記事公開後、Rainが正式に補填完了を発表しました。Avici・Tria合計2,321人（Avici 1,685人・Tria 636人、被害額合計約93万ドル）全員に対し、Rain・両社が全額返金＋10%上乗せでの補填を完了したことが確認されています。当初「Aviciは対応が遅れている」としていた記述は現在の状況とは異なるため、下記の通り更新しています。
2026年8月28日、Solana系の仮想通貨ネオバンク「Avici」で約50万ドル（1,685人分のカード残高）が流出する事件が発生しました。原因はAvici自体ではなく、カード発行インフラを提供するパートナー「Rain」が使っていた旧バージョンのカード用スマートコントラクトの脆弱性です。同じRainの基盤を利用する「Tria」でも被害が報告されており、複数の仮想通貨カードサービスを横断する事件になっています。何が起きたのか、各社の対応の違い、そして「被害に遭ったカードを今後も使い続けていいのか」を整理します。
何が起きたか：Rainのカード用コントラクトの脆弱性
Avici、Tria、Exa Card、Lava Card、Plasma One Card、Tangem Cardなど、複数の仮想通貨カードサービスは、カードの発行・決済インフラを「Rain」という共通の基盤に委託しています。今回の事件は、Rainが提供していた旧バージョンのSolanaカード用コントラクトに脆弱性があり、攻撃者がAviciの認証プログラムの署名処理（SubmitSignatures）を経由して担保プログラムの管理者権限（AddCollateralAdmin）を不正に取得し、担保資産を引き出す（WithdrawCollateralAsset）という手順で資金を抜き取ったとされています。Aviciのプログラムはアップグレード権限が単一のアカウントに紐づいており、マルチシグ（複数署名による承認）になっていなかった点も被害を広げた要因として指摘されています。
Avici：50万ドル超が流出、返金はまだ「表明」の段階
Aviciは公式発表で、1,685人のユーザーから合計50万859.22ドル相当のカード残高が流出したことを認め、影響を受けた全ユーザーへの全額返金を約束しました。FBIのインターネット犯罪苦情センター（IC3）にも報告済みです。公開当初は返金スケジュールが未発表でしたが、その後Rain・Aviciより、流出額に10%を上乗せした金額での補填が完了したと発表されています。
Triaも636人が被害、両社とも10%上乗せで補填完了
同じくRain基盤の脆弱性で、Triaでも636人のユーザーが被害を受け、損失額は43万ドル超にのぼりました。Avici・Tria合計では2,321人・約93万ドルという規模になります。Triaは早い段階で、影響を受けたユーザーに対し流出額に10%を上乗せした金額での補填を実施。Aviciも当初は返金スケジュールが未発表でしたが、その後Rain経由で同様に全額補填＋10%上乗せが完了したことが確認されています。結果としては両社とも「有事にきちんと補填を実行した」事例になりましたが、公表のスピード・具体性という点ではTriaの方が早く、透明性の高い発信をしていた点は評価に値します。
ハッキングされたカードは今後も使い続けていいのか
結論から言うと、今回の脆弱性は「特定バージョンのカード用コントラクト」に起因するものであり、Avici・Rain側はすでに該当コントラクトを全プログラムでアップグレード済みと説明しています。修正後に新たな不正引き出しは確認されていません。そのため、修正が完了し、かつ運営から明確な説明と補填（または補填の具体的な計画）が示されているカードについては、必ずしも「もう使えない」というわけではありません。判断のポイントは次の3点です。
- 脆弱性の修正が完了し、運営から技術的な説明があるか（Aviciは修正済みと説明）
- 被害への補填が「約束」で終わっていないか、実際に実行されているか（Aviciはまだスケジュール未発表、Triaは実施済みという差がある）
- カードに滞留させる金額を必要最小限にとどめられているか（今回のような基盤側の脆弱性は、利用者側の注意だけでは防げないため、日常的にカード残高を大きく持たない運用が有効）
代替として検討したいカード
今回の脆弱性はRainという特定の発行インフラに起因するものだったため、異なる仕組みで動くカードは同種のリスクを避けやすいといえます。たとえばEther.fi Cash Cardは、資金をSafe（マルチシグ対応の自己管理型ウォレット）で管理し、ステーキング中の資産を売却せずに担保としてそのまま利用できる自己管理型（セルフカストディ）の設計で、Rainのようなカード発行会社に資産を預ける仕組みとは構造が異なります（Coin Mapでは以前にEther.fiカードのキャッシュバックキャンペーンも紹介しています）。KASTカードもRainとの提携は本記事執筆時点で確認できていないカードの一つで、比較検討の候補になります。ただし、どのカードにも運営会社固有のリスクは存在するため、「基盤が違うから絶対安全」というわけではない点には留意してください。
まとめ
今回の事件は、カード発行を裏側で支える共通インフラ（Rain）の脆弱性が、Avici・Triaという複数のサービスに同時に波及した点が特徴です。個々のサービスのセキュリティ対策だけでなく、「裏側で誰が発行インフラを担っているか」まで意識することが、仮想通貨カード選びの新しい視点になりそうです。最終的には両社とも全額補填＋10%上乗せという形で対応を完了しましたが、公表の速さ・透明性には差があった点は、有事の際の運営姿勢を見極める材料として覚えておく価値があります。
コメント