A Sandbox se comprometeu a reembolsar os detentores elegíveis de SAND na proporção de 1:1 após um exploit de ponte em 21 de agosto que drenou cerca de 14,7 milhões de tokens no valor de aproximadamente US$ 700.000 de um cofre Ethereum.
Resumo
- A Sandbox reembolsará os detentores elegíveis de SAND na proporção de 1:1 após um exploit de ponte em 21 de agosto que drenou cerca de 14,7 milhões de tokens no valor de US$ 700.000.
- A compensação virá do tesouro da Sandbox sem cunhar novos SAND, com pedidos previstos para abrir dentro de duas semanas.
- O atacante explorou uma falha de configuração nos contratos da Base e da BNB Chain para cunhar mais de 339 trilhões de SAND sem lastro.
- Os contratos de ponte comprometidos serão permanentemente aposentados, enquanto o SAND na Ethereum e na Polygon não foi afetado.
De acordo com a análise post-mortem da Sandbox em 27 de agosto, os usuários que legitimamente detinham SAND em ponte na Base ou na BNB Smart Chain antes do ataque receberão uma quantidade equivalente de SAND baseado em Ethereum. O projeto planeja cobrir os pagamentos de seu tesouro sem cunhar novos tokens.
Os pedidos devem abrir dentro de duas semanas e permanecer disponíveis por mais duas semanas. Duas exchanges centralizadas são responsáveis por mais de 72% dos saldos elegíveis de SAND, e a Sandbox disse que as exchanges distribuirão tokens de substituição diretamente aos clientes afetados.
A Sandbox reembolsará os detentores de SAND de seu tesouro
O plano de reembolso cobre saldos legítimos de SAND em ponte que existiam na Base e na BNB Smart Chain antes do exploit. Os usuários elegíveis receberão SAND emitido na Ethereum, substituindo os tokens afetados pela infraestrutura de ponte comprometida.
A Sandbox disse que seu tesouro já possui os tokens necessários para o processo, o que significa que a compensação não aumentará a oferta circulante ou máxima de SAND. Os usuários que detinham saldos elegíveis por meio das duas exchanges centralizadas que lidam com a maioria dos tokens afetados não precisarão enviar pedidos individuais.
Para outros detentores, o projeto planeja lançar um portal de pedidos assim que a infraestrutura necessária estiver pronta. O período de envio de duas semanas deve começar dentro de duas semanas após a análise post-mortem, embora o projeto não tenha fornecido uma data específica de abertura.
O plano de compensação segue um ataque que teve como alvo os contratos responsáveis por mover SAND entre Ethereum e Base e BNB Smart Chain. Embora o explorador tenha conseguido criar uma quantidade enorme de SAND sem lastro nas redes de destino, o projeto disse que o dano aos ativos que respaldam tokens legítimos em ponte totalizou cerca de 14,7 milhões de SAND.
O valor roubado representou aproximadamente 0,5% do fornecimento máximo de SAND de 3 bilhões de tokens.
Falha de configuração deu ao atacante controle da verificação da ponte
A Sandbox rastreou o incidente a um problema de configuração nos contratos SAND implantados na Base e na BNB Smart Chain. A falha permitiu que o atacante se tornasse o único verificador de mensagens de ponte recebidas, dando ao endereço a capacidade de aprovar mensagens fraudulentas sem a autorização normalmente exigida pela ponte.
Com o controle desse processo de verificação, o atacante poderia cunhar SAND nas cadeias de destino, mesmo que os tokens correspondentes não tivessem sido legitimamente bloqueados na Ethereum.
Mais de 339 trilhões de tokens SAND sem lastro foram eventualmente cunhados na Base e na BNB Smart Chain, de acordo com a análise post-mortem. A Sandbox disse que o fornecimento fraudulento foi isolado desde então e não pode ser transferido de volta para a Ethereum ou resgatado contra reservas legítimas de SAND.
O SAND implantado diretamente na Ethereum e na Polygon não foi afetado pela falha de configuração.
A distinção entre tokens legítimos e sem lastro é central para o processo de reembolso porque os sistemas de ponte comumente dependem de ativos bloqueados em uma rede antes que uma representação correspondente seja emitida em outro lugar. Um explicador do crypto.news publicado em 3 de agosto detalhou como os designs de ponte lock-and-mint e relacionados dependem de mecanismos de verificação para garantir que os ativos da cadeia de destino permaneçam respaldados por valor mantido em outro lugar.
O Crypto.news informou anteriormente que explorações de pontes resultaram em perdas superiores a US$ 4 bilhões desde 2021, com falhas envolvendo credenciais de validadores, verificação de mensagens e contratos inteligentes entre os métodos que os atacantes usaram para comprometer a infraestrutura entre cadeias.
Pontes SAND comprometidas serão aposentadas permanentemente
Após o ataque de 21 de agosto, a The Sandbox decidiu não restaurar os contratos de ponte afetados da Base e da BNB Smart Chain. Ambos serão aposentados permanentemente.
Qualquer ponte futura conectando SAND a qualquer uma das redes exigiria contratos recém-implantados, de acordo com o projeto. A The Sandbox não forneceu um cronograma para restaurar o acesso da ponte à Base ou à BNB Smart Chain.
Decisões semelhantes para isolar ou substituir infraestrutura de ponte comprometida seguiram vários ataques este ano. Em junho, a Humanity Protocol divulgou perdas superiores a US$ 36 milhões depois que atacantes obtiveram chaves administrativas e assumiram o controle dos sistemas de ponte que abrangem Ethereum e BNB Smart Chain.
Os atacantes nesse incidente conseguiram drenar tokens da ponte Ethereum e cunhar tokens H adicionais na BNB Smart Chain. Uma investigação forense subsequente rastreou as chaves comprometidas até uma máquina de desenvolvedor infectada por malware que continha backups de sete chaves privadas.
Outro incidente de ponte em julho atingiu a infraestrutura da Wanchain que conecta Cardano e BNB Chain. A empresa de segurança blockchain BlockSec disse que aproximadamente 515 milhões de tokens NIGHT foram removidos do tesouro do lado Cardano na exploração da ponte Wanchain, valendo cerca de US$ 9 milhões na época. A Midnight disse que sua rede principal permaneceu segura e descreveu o incidente como isolado à infraestrutura da ponte.
Explorações de pontes continuaram ao longo de 2026
A infraestrutura entre cadeias enfrentou uma série de ataques durante 2026 envolvendo diferentes falhas de verificação e segurança.
A Axelar desativou as conexões de ponte com a Secret Network em junho após uma exploração resultar em aproximadamente US$ 4,7 milhões em perdas. O incidente afetou ativos com ponte Axelar na Secret Network, enquanto a Axelar disse que seu protocolo principal permaneceu inalterado.
Um mês depois, a AFX sofreu uma perda de US$ 24,15 milhões em USDC através de uma ponte operada pelo protocolo de negociação. A infraestrutura afetada era separada da ponte nativa da Arbitrum, e o atacante posteriormente moveu o USDC roubado para Ethereum antes de convertê-lo em cerca de 12.467,5 ETH.
A AFX posteriormente preparou um plano de boa vontade para os usuários depois que sua investigação vinculou o ataque a uma campanha de engenharia social que comprometeu a infraestrutura interna de desenvolvimento. O protocolo disse que reconstruiu a infraestrutura principal e introduziu novas medidas de segurança após o incidente.
Espera-se que o processo de reembolso da The Sandbox comece assim que seu sistema de reivindicações estiver pronto. Os saldos elegíveis mantidos através das duas exchanges centralizadas serão tratados diretamente por essas plataformas, enquanto os detentores restantes terão duas semanas para enviar reivindicações após a abertura do portal.
O SAND estava sendo negociado perto de US$ 0,04 no momento do post-mortem, uma queda de cerca de 10,4% nos últimos sete dias.
