The Sandbox s'est engagé à rembourser 1:1 les détenteurs de SAND éligibles après qu'une exploitation de pont le 21 août a drainé environ 14,7 millions de jetons d'une valeur d'environ 700 000 $ d'un coffre-fort Ethereum.
Résumé
- The Sandbox remboursera 1:1 les détenteurs de SAND éligibles après qu'une exploitation de pont le 21 août a drainé environ 14,7 millions de jetons d'une valeur de 700 000 $.
- La compensation proviendra du trésor de The Sandbox sans créer de nouveaux SAND, et les réclamations devraient ouvrir dans les deux semaines.
- L'attaquant a exploité une faille de configuration dans les contrats Base et BNB Chain pour créer plus de 339 billions de SAND non adossés.
- Les contrats de pont compromis seront définitivement retirés, tandis que les SAND sur Ethereum et Polygon n'ont pas été affectés.
Selon l'analyse post-mortem du 27 août de The Sandbox, les utilisateurs qui détenaient légitimement des SAND pontés sur Base ou BNB Smart Chain avant l'attaque recevront une quantité équivalente de SAND basés sur Ethereum. Le projet prévoit de couvrir les paiements à partir de son trésor sans créer de nouveaux jetons.
Les réclamations devraient ouvrir dans les deux semaines et rester disponibles pendant deux autres semaines. Deux bourses centralisées représentent plus de 72 % des soldes SAND éligibles, et The Sandbox a déclaré que les bourses distribueront directement les jetons de remplacement aux clients concernés.
The Sandbox remboursera les détenteurs de SAND à partir de son trésor
Le plan de remboursement couvre les soldes SAND pontés légitimes qui existaient sur Base et BNB Smart Chain avant l'exploitation. Les utilisateurs éligibles recevront des SAND émis sur Ethereum, remplaçant les jetons affectés par l'infrastructure de pont compromise.
The Sandbox a déclaré que son trésor détient déjà les jetons nécessaires au processus, ce qui signifie que la compensation n'augmentera pas l'offre circulante ou maximale de SAND. Les utilisateurs qui détenaient des soldes éligibles via les deux bourses centralisées gérant la plupart des jetons affectés n'auront pas besoin de soumettre des réclamations individuelles.
Pour les autres détenteurs, le projet prévoit de lancer un portail de réclamation une fois l'infrastructure requise prête. La période de soumission de deux semaines devrait commencer dans les deux semaines suivant l'analyse post-mortem, bien que le projet n'ait pas fourni de date d'ouverture spécifique.
Le plan de compensation fait suite à une attaque qui a ciblé les contrats responsables du transfert de SAND entre Ethereum et Base et BNB Smart Chain. Bien que l'exploitant ait pu créer une énorme quantité de SAND non adossés sur les réseaux de destination, le projet a déclaré que les dommages aux actifs adossant les jetons pontés légitimes s'élevaient à environ 14,7 millions de SAND.
Le montant volé représentait environ 0,5 % de l'offre maximale de SAND de 3 milliards de jetons.
Une faille de configuration a donné à l'attaquant le contrôle de la vérification du pont
The Sandbox a retracé l'incident à un problème de configuration dans les contrats SAND déployés sur Base et BNB Smart Chain. La faille a permis à l'attaquant de devenir le seul vérificateur des messages de pont entrants, donnant à l'adresse la capacité d'approuver des messages frauduleux sans l'autorisation normalement requise par le pont.
Avec le contrôle de ce processus de vérification, l'attaquant pouvait créer des SAND sur les chaînes de destination même si les jetons correspondants n'avaient pas été légitimement verrouillés sur Ethereum.
Plus de 339 billions de jetons SAND non adossés ont finalement été créés sur Base et BNB Smart Chain, selon l'analyse post-mortem. The Sandbox a déclaré que l'offre frauduleuse a depuis été isolée et ne peut pas être pontée de retour vers Ethereum ou échangée contre des réserves légitimes de SAND.
Les SAND déployés directement sur Ethereum et Polygon n'ont pas été affectés par la faille de configuration.
La distinction entre jetons légitimes et non adossés est centrale au processus de remboursement car les systèmes de pont dépendent généralement du verrouillage des actifs sur un réseau avant qu'une représentation correspondante ne soit émise ailleurs. Un explicateur de crypto.news publié le 3 août a détaillé comment les conceptions de pont lock-and-mint et connexes reposent sur des mécanismes de vérification pour garantir que les actifs de la chaîne de destination restent adossés à de la valeur détenue ailleurs.
Crypto.news a précédemment rapporté que les exploits de ponts ont entraîné des pertes de plus de 4 milliards de dollars depuis 2021, avec des défaillances impliquant des identifiants de validateurs, la vérification de messages et des contrats intelligents parmi les méthodes utilisées par les attaquants pour compromettre l'infrastructure inter-chaînes.
Les ponts SAND compromis seront définitivement retirés
Suite à l'attaque du 21 août, The Sandbox a décidé de ne pas restaurer les contrats de pont affectés sur Base et BNB Smart Chain. Les deux seront plutôt définitivement retirés.
Tout futur pont reliant SAND à l'un ou l'autre de ces réseaux nécessiterait de nouveaux contrats déployés, selon le projet. The Sandbox n'a pas fourni de calendrier pour rétablir l'accès aux ponts vers Base ou BNB Smart Chain.
Des décisions similaires pour isoler ou remplacer une infrastructure de pont compromise ont suivi plusieurs attaques cette année. En juin, Humanity Protocol a divulgué des pertes dépassant 36 millions de dollars après que des attaquants ont obtenu des clés administratives et pris le contrôle de systèmes de pont couvrant Ethereum et BNB Smart Chain.
Les attaquants dans cet incident ont pu drainer des jetons du pont Ethereum et frapper des jetons H supplémentaires sur BNB Smart Chain. Une enquête médico-légale ultérieure a retracé les clés compromises jusqu'à une machine de développeur infectée par un logiciel malveillant contenant des sauvegardes pour sept clés privées.
Un autre incident de pont en juillet a frappé l'infrastructure Wanchain reliant Cardano et BNB Chain. La société de sécurité blockchain BlockSec a déclaré qu'environ 515 millions de jetons NIGHT ont été retirés du trésor côté Cardano dans l'exploit du pont Wanchain, d'une valeur d'environ 9 millions de dollars à l'époque. Midnight a déclaré que son réseau principal restait sécurisé et a décrit l'incident comme isolé à l'infrastructure du pont.
Les exploits de ponts se sont poursuivis jusqu'en 2026
L'infrastructure inter-chaînes a fait face à une série d'attaques en 2026 impliquant différentes défaillances de vérification et de sécurité.
Axelar a désactivé les connexions de pont avec Secret Network en juin après qu'un exploit a entraîné des pertes d'environ 4,7 millions de dollars. L'incident a affecté les actifs pontés Axelar sur Secret Network tandis qu'Axelar a déclaré que son protocole principal restait non affecté.
Un mois plus tard, AFX a subi une perte de 24,15 millions de dollars en USDC via un pont exploité par le protocole de trading. L'infrastructure affectée était distincte du pont natif d'Arbitrum, et l'attaquant a ensuite déplacé les USDC volés vers Ethereum avant de les convertir en environ 12 467,5 ETH.
AFX a ensuite préparé un plan de bonne volonté pour les utilisateurs après que son enquête a lié l'attaque à une campagne d'ingénierie sociale qui a compromis l'infrastructure de développement interne. Le protocole a déclaré avoir reconstruit l'infrastructure clé et introduit de nouvelles mesures de sécurité suite à l'incident.
Le processus de remboursement de The Sandbox devrait commencer une fois que son système de réclamations sera prêt. Les soldes éligibles détenus via les deux bourses centralisées seront traités directement par ces plateformes, tandis que les détenteurs restants auront deux semaines pour soumettre leurs réclamations après l'ouverture du portail.
SAND se négociait près de 0,04 $ au moment de l'analyse post-mortem, en baisse d'environ 10,4 % sur les sept derniers jours.
