The Sandbox hat zugesagt, berechtigte SAND-Inhaber nach einem Bridge-Exploit am 21. August, bei dem etwa 14,7 Millionen Token im Wert von rund 700.000 US-Dollar aus einem Ethereum-Vault abgezogen wurden, im Verhältnis 1:1 zu entschädigen.
Zusammenfassung
- The Sandbox wird berechtigte SAND-Inhaber nach einem Bridge-Exploit am 21. August, bei dem etwa 14,7 Millionen Token im Wert von 700.000 US-Dollar abgezogen wurden, im Verhältnis 1:1 entschädigen.
- Die Entschädigung erfolgt aus der Treasury von The Sandbox, ohne neues SAND zu prägen; Anträge sollen innerhalb von zwei Wochen geöffnet werden.
- Der Angreifer nutzte einen Konfigurationsfehler in den Base- und BNB-Chain-Verträgen aus, um mehr als 339 Billionen ungedeckte SAND zu prägen.
- Die kompromittierten Bridge-Verträge werden dauerhaft stillgelegt, während SAND auf Ethereum und Polygon nicht betroffen war.
Laut dem Post-Mortem von The Sandbox vom 27. August erhalten Nutzer, die vor dem Angriff legitimerweise gebrückte SAND auf Base oder BNB Smart Chain hielten, eine entsprechende Menge an Ethereum-basierten SAND. Das Projekt plant, die Zahlungen aus seiner Treasury zu decken, ohne neue Token zu prägen.
Anträge werden voraussichtlich innerhalb von zwei Wochen geöffnet und bleiben weitere zwei Wochen verfügbar. Zwei zentrale Börsen machen mehr als 72 % der berechtigten SAND-Guthaben aus, und The Sandbox erklärte, dass die Börsen Ersatztoken direkt an betroffene Kunden verteilen werden.
The Sandbox wird SAND-Inhaber aus seiner Treasury entschädigen
Der Rückzahlungsplan deckt legitime gebrückte SAND-Guthaben ab, die vor dem Exploit auf Base und BNB Smart Chain existierten. Berechtigte Nutzer erhalten auf Ethereum ausgegebene SAND, die die von der kompromittierten Bridge-Infrastruktur betroffenen Token ersetzen.
The Sandbox erklärte, dass seine Treasury bereits über die für den Prozess erforderlichen Token verfügt, was bedeutet, dass die Entschädigung das zirkulierende oder maximale Angebot von SAND nicht erhöhen wird. Nutzer, die berechtigte Guthaben über die beiden zentralen Börsen hielten, die den Großteil der betroffenen Token abwickeln, müssen keine individuellen Anträge einreichen.
Für andere Inhaber plant das Projekt, ein Antragsportal zu starten, sobald die erforderliche Infrastruktur bereit ist. Der zweiwöchige Einreichungszeitraum soll innerhalb von zwei Wochen nach dem Post-Mortem beginnen, obwohl das Projekt kein konkretes Eröffnungsdatum nannte.
Der Entschädigungsplan folgt auf einen Angriff, der auf die Verträge abzielte, die für den Transfer von SAND zwischen Ethereum und Base und BNB Smart Chain verantwortlich sind. Obwohl der Angreifer eine enorme Menge ungedeckter SAND auf den Zielnetzwerken erzeugen konnte, gab das Projekt an, dass der Schaden an den Vermögenswerten, die legitime gebrückte Token absichern, etwa 14,7 Millionen SAND betrug.
Der gestohlene Betrag entsprach etwa 0,5 % des maximalen Angebots von SAND von 3 Milliarden Token.
Konfigurationsfehler gab dem Angreifer die Kontrolle über die Bridge-Verifizierung
The Sandbox führte den Vorfall auf ein Konfigurationsproblem in den auf Base und BNB Smart Chain bereitgestellten SAND-Verträgen zurück. Der Fehler ermöglichte es dem Angreifer, der alleinige Verifizierer für eingehende Bridge-Nachrichten zu werden, wodurch die Adresse in der Lage war, betrügerische Nachrichten zu genehmigen, ohne die normalerweise von der Bridge erforderliche Autorisierung.
Mit der Kontrolle über diesen Verifizierungsprozess konnte der Angreifer SAND auf den Zielketten prägen, obwohl entsprechende Token nicht legitim auf Ethereum gesperrt waren.
Mehr als 339 Billionen ungedeckte SAND-Token wurden schließlich auf Base und BNB Smart Chain geprägt, so das Post-Mortem. The Sandbox erklärte, dass das betrügerische Angebot inzwischen isoliert wurde und nicht zurück zu Ethereum gebrückt oder gegen legitime SAND-Reserven eingelöst werden kann.
Direkt auf Ethereum und Polygon bereitgestellte SAND waren von dem Konfigurationsfehler nicht betroffen.
Die Unterscheidung zwischen legitimen und ungedeckten Token ist für den Rückerstattungsprozess von zentraler Bedeutung, da Bridge-Systeme üblicherweise davon abhängen, dass Vermögenswerte auf einem Netzwerk gesperrt werden, bevor eine entsprechende Darstellung anderswo ausgegeben wird. Ein crypto.news-Erklärer, veröffentlicht am 3. August, erläuterte, wie Lock-and-Mint- und verwandte Bridge-Designs auf Verifizierungsmechanismen angewiesen sind, um sicherzustellen, dass Vermögenswerte auf der Zielkette durch anderswo gehaltene Werte gedeckt bleiben.
Crypto.news berichtete zuvor, dass Bridge-Exploits seit 2021 zu Verlusten von mehr als 4 Milliarden US-Dollar geführt haben, wobei Fehler bei Validator-Anmeldeinformationen, Nachrichtenüberprüfung und Smart Contracts zu den Methoden gehören, mit denen Angreifer Cross-Chain-Infrastruktur kompromittiert haben.
Kompromittierte SAND-Brücken werden dauerhaft stillgelegt
Nach dem Angriff am 21. August entschied sich The Sandbox, die betroffenen Base- und BNB-Smart-Chain-Bridge-Verträge nicht wiederherzustellen. Beide werden stattdessen dauerhaft stillgelegt.
Jede zukünftige Brücke, die SAND mit einem der beiden Netzwerke verbindet, würde laut Projekt neu bereitgestellte Verträge erfordern. The Sandbox gab keinen Zeitplan für die Wiederherstellung des Bridge-Zugriffs auf Base oder BNB Smart Chain bekannt.
Ähnliche Entscheidungen, kompromittierte Bridge-Infrastruktur zu isolieren oder zu ersetzen, folgten auf mehrere Angriffe in diesem Jahr. Im Juni offenbarte Humanity Protocol Verluste von über 36 Millionen US-Dollar, nachdem Angreifer administrative Schlüssel erlangt und die Kontrolle über Bridge-Systeme übernommen hatten, die Ethereum und BNB Smart Chain umfassen.
Die Angreifer in diesem Vorfall konnten Token aus der Ethereum-Bridge abziehen und zusätzliche H-Token auf BNB Smart Chain prägen. Eine anschließende forensische Untersuchung führte die kompromittierten Schlüssel auf eine mit Malware infizierte Entwicklermaschine zurück, die Backups für sieben private Schlüssel enthielt.
Ein weiterer Bridge-Vorfall im Juli traf die Wanchain-Infrastruktur, die Cardano und BNB Chain verbindet. Die Blockchain-Sicherheitsfirma BlockSec sagte, dass etwa 515 Millionen NIGHT-Token aus der Cardano-seitigen Treasury beim Wanchain-Bridge-Exploit entfernt wurden, damals etwa 9 Millionen US-Dollar wert. Midnight sagte, sein Kernnetzwerk sei sicher geblieben und beschrieb den Vorfall als auf die Bridge-Infrastruktur beschränkt.
Bridge-Exploits haben sich bis 2026 fortgesetzt
Cross-Chain-Infrastruktur war im Jahr 2026 einer Reihe von Angriffen ausgesetzt, die verschiedene Verifikations- und Sicherheitsfehler betrafen.
Axelar deaktivierte im Juni Bridge-Verbindungen mit Secret Network, nachdem ein Exploit zu Verlusten von etwa 4,7 Millionen US-Dollar geführt hatte. Der Vorfall betraf Axelar-überbrückte Vermögenswerte auf Secret Network, während Axelar sagte, sein Kernprotokoll sei nicht betroffen.
Einen Monat später erlitt AFX einen Verlust von 24,15 Millionen USDC durch eine vom Handelsprotokoll betriebene Brücke. Die betroffene Infrastruktur war getrennt von Arbitrums nativer Brücke, und der Angreifer transferierte anschließend die gestohlenen USDC nach Ethereum, bevor er sie in etwa 12.467,5 ETH umwandelte.
AFX bereitete später einen Goodwill-Plan für Benutzer vor, nachdem seine Untersuchung den Angriff mit einer Social-Engineering-Kampagne in Verbindung brachte, die die interne Entwicklungsinfrastruktur kompromittierte. Das Protokoll sagte, es habe die wichtigste Infrastruktur wieder aufgebaut und nach dem Vorfall neue Sicherheitsmaßnahmen eingeführt.
Der Erstattungsprozess von The Sandbox soll beginnen, sobald das Anspruchssystem bereit ist. Berechtigte Guthaben, die über die beiden zentralisierten Börsen gehalten werden, werden direkt von diesen Plattformen abgewickelt, während verbleibende Inhaber nach der Öffnung des Portals zwei Wochen Zeit haben, Ansprüche einzureichen.
SAND wurde zum Zeitpunkt der Nachbesprechung bei etwa 0,04 US-Dollar gehandelt, was einem Rückgang von etwa 10,4 % in den letzten sieben Tagen entspricht.
