据区块链安全公司Blockaid报告，8月28日，攻击者利用一个过时的Rain卡合约，从运行在Solana上的多个稳定币卡项目中盗取了约110万美元。
此次攻击利用了Rain Solana旧版合约的漏洞，允许从多个项目的卡抵押账户中未经授权提取资金。Blockaid估计被盗金额约110万美元，随后资金被转入以太坊上的Tornado Cash混币器。受影响的项目包括Avici和Tria，其中Avici报告称有1,685名用户损失了500,859美元，Tria则确认636名客户损失了431,945美元。Rain表示，所有使用存在漏洞合约版本的项目在8月攻击后均已升级。
攻击者并未访问用户的自我托管钱包或私钥，而是针对存放用户为充值卡余额而存入的稳定币的抵押合约。Rain的监控系统发现了一个影响少数使用旧版Solana卡合约项目的漏洞，并已将所有仍在运行受影响版本的项目升级。
Blockaid通过分析发现，该旧版合约需要两个独立授权才能执行某些账户操作，但攻击者操纵了第二个验证指令，使其引用第一个指令的信息，从而用一个攻击者控制的签名通过了两个独立验证。随后攻击者利用AddCollateralAdmin指令为自己添加管理员权限，再调用WithdrawCollateralAsset转移USDC和USDT。Blockaid记录了2,945次管理员添加和5,288次提款调用，整个攻击过程持续约2小时29分钟，涉及8,233笔核心交易。
被盗资金先被兑换成SOL，再通过deBridge跨链协议转移到以太坊，最终约455.9 ETH进入Tornado Cash混币器，导致后续追踪困难。Blockaid指出，这些资金尚未被追回。
此次事件再次引发了对合约和运营漏洞的担忧。Blockaid的研究显示，2026年上半年因加密货币安全漏洞造成的损失约11亿美元。Rain合约漏洞暴露了共享卡基础设施的风险，用户虽然能控制自己的个人钱包，但一旦资金存入卡项目，其安全性就取决于抵押合约、维护方以及运营商应对漏洞的能力。