发生了什么？
Avici 披露，一个旧版本的 Rain Solana card-balance contract 遭到攻击。
项目确认：
- 1,685 名用户受到影响；
- 500,859.22 美元 Avici 卡余额属于已确认受影响范围；
- 用户 self-custody wallet 未受影响；
- Avici 承诺对受影响用户进行全额赔付。
为什么要区分 Card Balance 与 Self-Custody Wallet？
Crypto card 产品通常不是单一技术层。
一个完整产品可能同时包含：
- Self-custody wallet；
- Card funding balance；
- Smart contracts；
- Payment processor；
- Off-chain settlement。
因此，一个合约被攻击并不意味着所有与该产品有关的资产同时失守。
对于 Avici 用户，本次事件最重要的边界是：
已确认受影响的是 card-balance contract，而不是用户独立控制的 self-custody wallet。
已确认影响
目前 Avici-specific 的确认数据为：
- 受影响用户： 1,685
- 确认受影响卡余额： $500,859.22
- Self-custody wallet： Avici 表示未受影响
- 赔付： 承诺全额退款
市场上还出现过超过 100 万美元的 broader attacker flow 数字。
但这些更大的链上金额可能包含其他 program、contract 或资金路径，不能直接全部计算为 Avici 用户损失。
因此 CEXVia 当前仍使用 500,859.22 美元作为 Avici-specific confirmed impact。
全额赔付意味着风险已经结束吗？
还没有。
赔付承诺可以大幅降低用户最终损失，但只有当资金真正回到用户账户后，才能认为 compensation risk 实质关闭。
后续需要确认：
- 退款何时开始；
- 是否自动完成；
- 是否需要用户提交 claim；
- 按什么资产或币种退款；
- 是否存在地区限制；
- 是否所有用户都能 1:1 恢复余额。
用户应该保存哪些资料？
建议受影响用户保留：
- 事件前 card balance；
- Transaction history；
- Avici / Rain 官方通知；
- Refund status；
- Support ticket 编号。
同时需要警惕假冒退款页面。
任何正常退款流程都不应要求用户提供 seed phrase 或 private key。
风险判断
High。
这是生产环境余额合约被实际利用，并且涉及超过 1,600 名用户。
但确认损失规模相对有限、self-custody wallet 被明确区分、且项目已承诺赔付，因此暂不评为 Critical。
接下来关注什么？
CEXVia 将继续跟踪：
- 退款实际完成率；
- 最终技术 root cause；
- Rain / Avici 是否弃用或升级旧合约；
- broader attacker flows 能否与确认用户损失完成对账。
FAQ
Avici 确认受影响多少钱？
目前确认的 Avici 卡余额为 500,859.22 美元。
有多少用户受到影响？
1,685 名用户。
Self-custody wallet 被黑了吗？
Avici 表示 self-custody wallet 未受影响。
用户会获得退款吗？
Avici 已承诺全额赔付，但事件要等实际退款完成后才能真正关闭。
为什么有些地方看到超过 100 万美元？
更大的数字可能代表跨多个 program 或 contract 的 attacker flows，不能直接等同于 Avici 客户确认损失。