The Sandbox устранила уязвимость кроссчейн-моста, которая позволила злоумышленнику выпустить необеспеченные SAND на Base и BNB Smart Chain, при этом проект оценивает прямой ущерб менее чем в 0,01% от общего объема токена в 3 миллиарда.
Резюме
- Злоумышленник выпустил необеспеченные SAND на Base и BNB Smart Chain через скомпрометированные разрешения моста.
- The Sandbox отключила переводы, связанные с обеими сетями, оставив SAND на Ethereum и Polygon без изменений.
- Upbit и Bithumb приостановили депозиты и выводы SAND после обнаружения возможного инцидента безопасности.
- Ончейн-исследователи оценили, что около 14,75 миллионов SAND, обеспеченных Ethereum, покинули адаптер моста.
- The Sandbox планирует компенсировать соответствующим поставщикам ликвидности на основе балансов, зафиксированных до атаки.
The Sandbox заявила, что полностью устранила уязвимость, затронувшую ее мост SAND на Base и BNB Smart Chain, добавив, что кошельки пользователей не были скомпрометированы, а SAND, хранящиеся на Ethereum и Polygon, остаются в безопасности.
В заявлении от 22 августа метавселенная сообщила, что злоумышленник создал токены на Base и BNB Smart Chain без SAND, необходимых для их обеспечения на Ethereum. Команда отключила мост в обе сети и из них, изолировав затронутые токены и предотвратив их погашение через официальный мост.
«Все мостовые средства SAND обеспечены SAND, заблокированными на Ethereum, который остается полностью безопасным», — заявил проект.
Пользователям было сказано не покупать, не продавать и не предоставлять ликвидность для SAND на Base или BNB Smart Chain, пока затронутые развертывания остаются изолированными. Команда также делает снимок до атаки и заявила, что соответствующие поставщики ликвидности получат компенсацию, хотя график выплат не был указан.
Как эксплойт моста SAND создал необеспеченные токены
Ранние ончейн-алерты показали более 500 миллионов SAND, выпущенных на Base, но сообщаемая цифра быстро росла, поскольку злоумышленник продолжал взаимодействовать с контрактом.
Позже PeckShield идентифицировала около 14,9 миллиардов SAND, созданных на двух адресах. Другие исследователи безопасности зафиксировали сотни дополнительных транзакций, что привело к гораздо более крупным оценкам общего количества необеспеченных токенов, созданных до отключения моста.
Размер выпущенной суммы не отражал прямые финансовые потери проекта. SAND, созданные на Base или BNB Smart Chain, не могли увеличить фиксированный максимальный объем токена Ethereum в 3 миллиарда, если только злоумышленник не мог использовать кроссчейн-систему для выпуска подлинных токенов, заблокированных в адаптере Ethereum.
Согласно данным аккаунта блокчейн-форензики BlockWatchdog, злоумышленник вывел примерно 14,75 миллионов SAND из адаптера Ethereum менее чем за минуту. Продажа токенов принесла около 80 ETH, что на момент транзакций составляло примерно 675 000 долларов.
Цифра помогает объяснить, почему The Sandbox оценила воздействие ниже 0,01% от общего объема поставки SAND, хотя количество токенов, отчеканенных на затронутых сетях, казалось значительно большим. Проект еще не опубликовал полный технический отчет, согласующий свою оценку потерь с данными, представленными отдельными исследователями в сети.
Blockaid связала инцидент с захватом делегированных полномочий LayerZero через функцию approveAndCall. Фирма по безопасности заявила, что этот доступ позволил злоумышленнику чеканить токены через затронутые кроссчейн-контракты, хотя The Sandbox не подтвердила предложенную Blockaid причину в подробном разборе инцидента.
Почему предложение SAND в Ethereum осталось неизменным
Стандарт Omnichain Fungible Token от LayerZero использует связанные контракты для перемещения активов между блокчейнами. В рамках модели адаптера существующий токен блокируется в исходной сети, а эквивалентное количество чеканится в сети назначения.
Для SAND адаптер Ethereum хранит исходные токены, предназначенные для поддержки кроссчейн-балансов. Легитимный перевод в Base должен заблокировать SAND в Ethereum перед созданием соответствующего количества в Base, сохраняя единое предложение в связанных сетях.
Несанкционированный чекан нарушил связь обеспечения в затронутых сетях, но не переписал контракт токена Ethereum и не увеличил его максимальное предложение. CoinGecko продолжал показывать максимальное предложение в 3 миллиарда SAND, при этом в обращении находилось около 2,9 миллиарда токенов.
Чтобы остановить связь затронутых контрактов с другими развертываниями, The Sandbox удалила настройки пиров LayerZero для Base и BNB Smart Chain. Это действие отрезало официальный маршрут, через который необеспеченные токены могли бы быть использованы для получения активов, хранящихся в адаптере Ethereum.
Аналогичное различие между сбоем моста и проблемой с базовым блокчейном появилось во время июльского эксплойта моста Wanchain. Около 515 миллионов NIGHT покинули казначейство Wanchain на стороне Cardano, в то время как Midnight Foundation заявила, что ее основная сеть, валидаторы и система консенсуса остались незатронутыми.
В другом июльском инциденте злоумышленник использовал путь импорта моста Verus для запуска необеспеченных выплат активов на сумму около 7,54 миллиона долларов. Blockaid связала атаку с тем же контрактом моста и очевидным классом ошибок, участвовавших в более раннем взломе в мае.
Корейские биржи ограничивают переводы SAND
Upbit выпустила предупреждение после обнаружения признаков возможной проблемы безопасности, связанной с SAND, предупредив, что инцидент может вызвать резкие колебания цен. Bithumb отдельно приостановила депозиты и выводы SAND, пока рассматривала этот вопрос.
Сообщения, ссылающиеся на уведомления бирж, указывают, что приостановка Bithumb произошла в 11:11 утра по корейскому стандартному времени 22 августа, а Upbit примерно через минуту. Торговые ограничения и приостановки переводов могут различаться, поэтому пользователи должны проверять уведомления каждой биржи перед размещением заказа или попыткой переместить SAND.
Быстрая реакция соответствует процедурам южнокорейских бирж для активов, столкнувшихся с подозреваемыми сбоями в сети, аномальной эмиссией токенов или инцидентами безопасности. Ограничения на депозиты могут снизить вероятность того, что токены, созданные через скомпрометированную сеть, попадут на биржу и будут проданы против незатронутых балансов.
SAND торговался около $0,05 после раскрытия информации, в то время как CoinGecko сообщила о более чем $66 миллионах объема за 24 часа. Провайдер данных оценил рыночную капитализацию токена примерно в $136 миллионов и показал рост примерно на 18% за семь дней, хотя цены варьировались в зависимости от торговых площадок.
Пользователи Base сталкиваются с изолированным риском ликвидности
Для пользователей из США непосредственная связь проходит через Base, сеть второго уровня Ethereum, разработанную американской биржей Coinbase. Согласно доступным раскрытиям проекта и служб безопасности, сообщенная уязвимость затронула кроссчейн-контракты The Sandbox, развернутые на Base, а не базовую сеть Base.
Предупреждение The Sandbox касается всех, кто держит или торгует изолированной версией SAND на Base, включая пользователей из США, получающих доступ к децентрализованным биржам через кошельки с самостоятельным хранением. Токены, доступные в пулах ликвидности Base, могут не иметь такого же обеспечения, как нативный SAND в Ethereum, пока официальный мост остается отключенным.
Инцидент следует за апрельской атакой, связанной с другим активом на основе LayerZero. Как сообщает crypto.news, в отчете LayerZero об инциденте с KelpDAO говорится, что злоумышленники похитили около 116 500 rsETH на сумму 292 миллиона долларов после взлома инфраструктуры, используемой одновалидаторной кросс-чейн конфигурацией.
После атаки на KelpDAO LayerZero заявила, что ее сеть верификации прекратит подписывать сообщения для приложений, использующих схему с одним верификатором, и призвала проекты перейти на несколько независимых верификаторов. The Sandbox не сообщила, использовала ли ее конфигурация SAND ту же модель или была ли последняя уязвимость связана с сетью верификации LayerZero.
The Sandbox, дочерняя компания Animoca Brands, привлекшая 93 миллиона долларов в 2021 году, заявила, что опубликует дополнительную информацию по мере проведения расследования. В последнем уведомлении не указана дата восстановления переводов Base и BNB Smart Chain, а также не уточняется, когда откроется прием заявлений о компенсации для соответствующих поставщиков ликвидности.
