Avici 攻击者将 $190 变成了 $670,000 钱包昨天 13:40 UTC 创建，用从以太坊桥接过来的 $190 USDC 充值——刚好够支付 gas 费。16:49 开始提取资金，已经完成了 8,857 笔交易，还在继续。 每个账户的操作模式都一样： 1. 提交一个签名包 2. 调用 AddCollateralAdmin 并将自己设为管理员 3. 提现 第二次签名检查指向了指令 0。Solana 再次验证了攻击者自己的签名。程序授予了一个本不该接受的管理员密钥。 这让攻击者成为了 1,100+ 抵押账户的管理员。 中位数收益：$24。样本中最大的一笔：$5,268。 第一批约 ~$576K 在 18:19 到 18:34 UTC 之间离开了钱包。之后钱包还在不断被填充。 这不是国库被掏空，也不是升级密钥被盗。每一美元都来自单个用户账户，一次一笔。