The Sandbox zobowiązał się do zwrotu środków kwalifikującym się posiadaczom SAND w stosunku 1:1 po tym, jak exploit mostu z 21 sierpnia wypompował około 14,7 miliona tokenów o wartości około 700 000 dolarów z skarbca Ethereum.
Podsumowanie
- The Sandbox zwróci środki kwalifikującym się posiadaczom SAND w stosunku 1:1 po tym, jak exploit mostu z 21 sierpnia wypompował około 14,7 miliona tokenów o wartości 700 000 dolarów.
- Kompensacja zostanie pokryta ze skarbca The Sandbox bez emisji nowych SAND, a roszczenia mają zostać otwarte w ciągu dwóch tygodni.
- Atakujący wykorzystał błąd konfiguracji w kontraktach Base i BNB Chain, aby wybić ponad 339 bilionów niepokrytych SAND.
- Zaatakowane kontrakty mostu zostaną trwale wycofane, podczas gdy SAND na Ethereum i Polygon nie został naruszony.
Według analizy pośmiertnej The Sandbox z 27 sierpnia, użytkownicy, którzy legalnie posiadali zmostkowane SAND na Base lub BNB Smart Chain przed atakiem, otrzymają równowartość SAND opartych na Ethereum. Projekt planuje pokryć płatności ze swojego skarbca bez emisji nowych tokenów.
Roszczenia mają zostać otwarte w ciągu dwóch tygodni i pozostaną dostępne przez kolejne dwa tygodnie. Dwie scentralizowane giełdy odpowiadają za ponad 72% kwalifikujących się sald SAND, a The Sandbox poinformował, że giełdy przekażą tokeny zastępcze bezpośrednio dotkniętym klientom.
The Sandbox zwróci posiadaczom SAND środki ze swojego skarbca
Plan spłaty obejmuje legalne salda zmostkowanych SAND, które istniały na Base i BNB Smart Chain przed exploit. Kwalifikujący się użytkownicy otrzymają SAND wyemitowane na Ethereum, zastępując tokeny dotknięte naruszoną infrastrukturą mostu.
The Sandbox poinformował, że jego skarbiec już posiada tokeny wymagane do tego procesu, co oznacza, że kompensacja nie zwiększy podaży w obiegu ani maksymalnej podaży SAND. Użytkownicy, którzy posiadali kwalifikujące się salda za pośrednictwem dwóch scentralizowanych giełd obsługujących większość dotkniętych tokenów, nie będą musieli składać indywidualnych roszczeń.
Dla innych posiadaczy projekt planuje uruchomić portal roszczeń, gdy wymagana infrastruktura będzie gotowa. Dwutygodniowy okres składania wniosków ma rozpocząć się w ciągu dwóch tygodni od analizy pośmiertnej, chociaż projekt nie podał konkretnej daty otwarcia.
Plan kompensacji następuje po ataku, który wymierzony był w kontrakty odpowiedzialne za przenoszenie SAND między Ethereum a Base i BNB Smart Chain. Chociaż exploiter był w stanie stworzyć ogromną ilość niepokrytych SAND w sieciach docelowych, projekt poinformował, że szkody dla aktywów zabezpieczających legalne zmostkowane tokeny wyniosły około 14,7 miliona SAND.
Skradziona kwota stanowiła około 0,5% maksymalnej podaży SAND wynoszącej 3 miliardy tokenów.
Błąd konfiguracji dał atakującemu kontrolę nad weryfikacją mostu
The Sandbox prześledził incydent do problemu konfiguracji w kontraktach SAND wdrożonych na Base i BNB Smart Chain. Błąd pozwolił atakującemu stać się jedynym weryfikatorem przychodzących wiadomości mostu, dając adresowi możliwość zatwierdzania fałszywych wiadomości bez autoryzacji zwykle wymaganej przez most.
Dzięki kontroli nad tym procesem weryfikacji atakujący mógł wybijać SAND w łańcuchach docelowych, nawet jeśli odpowiadające im tokeny nie zostały legalnie zablokowane na Ethereum.
Ponad 339 bilionów niepokrytych tokenów SAND zostało ostatecznie wybitych na Base i BNB Smart Chain, zgodnie z analizą pośmiertną. The Sandbox poinformował, że fałszywa podaż została odizolowana i nie może zostać zmostkowana z powrotem do Ethereum ani wymieniona na legalne rezerwy SAND.
SAND wdrożony bezpośrednio na Ethereum i Polygon nie został dotknięty błędem konfiguracji.
Rozróżnienie między legalnymi a niepokrytymi tokenami jest kluczowe dla procesu zwrotu środków, ponieważ systemy mostów zwykle polegają na blokowaniu aktywów w jednej sieci przed wyemitowaniem odpowiadającej im reprezentacji gdzie indziej. Wyjaśnienie crypto.news opublikowane 3 sierpnia szczegółowo opisało, jak projekty mostów typu lock-and-mint i pokrewne opierają się na mechanizmach weryfikacji, aby zapewnić, że aktywa w łańcuchu docelowym pozostają zabezpieczone wartością przechowywaną gdzie indziej.
Crypto.news wcześniej informował, że exploity mostów spowodowały straty przekraczające 4 miliardy dolarów od 2021 roku, a awarie obejmujące poświadczenia walidatorów, weryfikację wiadomości i inteligentne kontrakty należą do metod, których atakujący używali do naruszenia infrastruktury międzyłańcuchowej.
Naruszone mosty SAND zostaną trwale wycofane
Po ataku z 21 sierpnia The Sandbox zdecydował się nie przywracać dotkniętych kontraktów mostów Base i BNB Smart Chain. Oba zostaną zamiast tego trwale wycofane.
Jakiekolwiek przyszłe mosty łączące SAND z którąkolwiek z tych sieci będą wymagać nowo wdrożonych kontraktów, według projektu. The Sandbox nie podał harmonogramu przywrócenia dostępu do mostów Base lub BNB Smart Chain.
Podobne decyzje o izolacji lub wymianie naruszonej infrastruktury mostów nastąpiły po kilku atakach w tym roku. W czerwcu Humanity Protocol ujawnił straty przekraczające 36 milionów dolarów po tym, jak atakujący uzyskali klucze administracyjne i przejęli kontrolę nad systemami mostów obejmującymi Ethereum i BNB Smart Chain.
Atakujący w tym incydencie byli w stanie wyprowadzić tokeny z mostu Ethereum i wybić dodatkowe tokeny H na BNB Smart Chain. Późniejsze dochodzenie kryminalistyczne prześledziło naruszone klucze do zainfekowanego złośliwym oprogramowaniem komputera deweloperskiego, który zawierał kopie zapasowe siedmiu kluczy prywatnych.
Kolejny incydent z mostem w lipcu dotknął infrastrukturę Wanchain łączącą Cardano i BNB Chain. Firma zajmująca się bezpieczeństwem blockchain BlockSec poinformowała, że około 515 milionów tokenów NIGHT zostało usuniętych ze skarbca po stronie Cardano w exploicie mostu Wanchain, o wartości około 9 milionów dolarów w tamtym czasie. Midnight stwierdziło, że jego podstawowa sieć pozostała bezpieczna i opisało incydent jako ograniczony do infrastruktury mostu.
Exploity mostów trwały przez cały 2026 rok
Infrastruktura międzyłańcuchowa stanęła w obliczu serii ataków w 2026 roku, obejmujących różne awarie weryfikacji i bezpieczeństwa.
Axelar wyłączył połączenia mostów z Secret Network w czerwcu po exploicie, który spowodował straty w wysokości około 4,7 miliona dolarów. Incydent dotknął aktywa mostowane przez Axelar na Secret Network, podczas gdy Axelar stwierdził, że jego podstawowy protokół pozostał nietknięty.
Miesiąc później AFX poniósł stratę 24,15 miliona dolarów USDC przez most obsługiwany przez protokół handlowy. Dotknięta infrastruktura była oddzielona od natywnego mostu Arbitrum, a atakujący następnie przeniósł skradzione USDC do Ethereum, zanim zamienił je na około 12 467,5 ETH.
AFX później przygotował plan dobrej woli dla użytkowników po tym, jak jego dochodzenie powiązało atak z kampanią inżynierii społecznej, która naruszyła wewnętrzną infrastrukturę deweloperską. Protokół poinformował, że odbudował kluczową infrastrukturę i wprowadził nowe środki bezpieczeństwa po incydencie.
Proces zwrotów The Sandbox ma się rozpocząć, gdy system roszczeń będzie gotowy. Kwalifikujące się salda przechowywane przez dwie scentralizowane giełdy zostaną obsłużone bezpośrednio przez te platformy, a pozostali posiadacze będą mieli dwa tygodnie na złożenie roszczeń po otwarciu portalu.
SAND handlowano w okolicach 0,04 dolara w momencie publikacji analizy pośmiertnej, co oznacza spadek o około 10,4% w ciągu ostatnich siedmiu dni.
