Benutzer von The Sandbox, die von dem Exploit am 21. August betroffen waren, erhielten am 27. August positive Nachrichten, als das Projekt eine 1:1-Entschädigung zusagte, die in der Ethereum-Version von SAND ausgezahlt wird.

In seiner Ankündigung auf X erklärte The Sandbox, dass es innerhalb von zwei Wochen nach seiner Bekanntgabe vom 27. August ein zweiwöchiges Antragsfenster für Entschädigungen eröffnen wird. Anspruchsberechtigt sind ausschließlich Token-Inhaber, die nachweislich zum Zeitpunkt des Exploits gebrücktes SAND auf Base und der BNB Smart Chain (BSC) hielten. Insgesamt verlor diese Gruppe von Inhabern rund 697.000 US-Dollar.

Die Zusage einer Erstattung ist von Bedeutung, da die betroffenen Tokens mit Brücken-Aktivitäten verbunden waren und nicht mit dem Ethereum-Hauptvorrat, der laut dem Unternehmen intakt blieb. Indem The Sandbox die Berechtigung auf nachweisbare gebrückte Guthaben beschränkt und in Ethereum-basiertem SAND auszahlt, versucht das Unternehmen, die Bestände der Nutzer wiederherzustellen, ohne die kompromittierte Brücke erneut zu öffnen.

Wann erhalten SAND-Inhaber ihre Entschädigung?

Laut The Sandbox müssen betroffene Nutzer mindestens einen Monat warten, bis sie ihre Mittel tatsächlich erhalten. Der Antragsprozess wird innerhalb von zwei Wochen nach dem 27. August eröffnet, und das Antragsfenster bleibt anschließend weitere zwei Wochen geöffnet. Die Erstattung erfolgt in Ethereum-basiertem SAND; berechtigt sind nur Inhaber von gebrücktem SAND auf Base und BSC zum Zeitpunkt des Angriffs.

Inhaber der Ethereum-Version von SAND blieben von dem Vorfall völlig verschont; der Token-Vorrat der Chain beträgt weiterhin 3 Milliarden Token. Auch Polygon-basiertes SAND war nicht betroffen, da es über eine separate Brücke läuft.

„Die Guthaben auf beiden Chains sind intakt, und es sind keine Handlungen der Nutzer erforderlich", erklärte The Sandbox in seinem Post-Mortem-Bericht.

The Sandbox macht die Token-Verträge für den Exploit verantwortlich

The Sandbox erklärte, dass der Fehler nicht von Schlüsseln ausging, die das Unternehmen auf seiner Seite kontrolliert, sondern verwies stattdessen auf die SAND-Token-Verträge auf Base und BSC. Laut dem Post-Mortem-Bericht war der Token-Vertrag so eingerichtet, dass er zugleich als registrierte Anwendung der Brücke fungierte – eine Regelung, die Nutzern zusätzliche Transaktionen ersparen sollte. Das Problem war, dass die Messaging-Schicht jede Eingabe aus dieser Richtung als direkte Anweisung von The Sandbox selbst interpretierte.

Angreifer nutzten die Lücke aus, um in vier Schritten einen Gesamtschaden von fast 1,49 Millionen US-Dollar zu verursachen:

1. Zunächst nutzten sie die Call-Funktion, um ihre eigene Adresse als autorisierten Administrator zu registrieren.
2. Mit Administratorrechten schrieben sie die Verifizierungseinstellungen um, sodass eine einzige Freigabe von ihrer eigenen Adresse ausreichte, um eine Brückennachricht zu bestätigen.
3. Anschließend übermittelten sie gefälschte Einzahlungsnachrichten, die SAND auf Base und BSC gegen Ethereum-Einzahlungen minteten, die nie stattgefunden hatten.
4. Schließlich verkauften sie einen Teil der gefälschten Tokens gegen Ether und nutzten die Reverse-Bridge-Funktion, um echtes SAND aus dem Ethereum-Vault abzuziehen.

Laut forensischer Analyse belief sich der direkte Abzug aus dem Vault auf 14.742.341,84 SAND. Der Angreifer kam mit rund 987.000 US-Dollar davon.

Die Brücke bleibt geschlossen

The Sandbox schloss die Brücke am 22. August um 05:26 UTC auf Vertragsebene über alle drei Chains und erklärt, dass seit 02:21 UTC an diesem Tag kein SAND mehr abgeflossen ist. Seine erste öffentliche Mitteilung vom 22. August bezeichnete die Sicherheitslücke als „vollständig eingedämmt" und bezifferte den Schaden auf weniger als 0,01 % der gesamten SAND-Versorgung.

Das Unternehmen weckte in der Zwischenzeit keine Hoffnungen auf eine Wiedereröffnung der Brücke. Da die betroffenen Verträge der Anwendung dauerhaft erlauben, sich selbst neu zu konfigurieren, ist die Kontrolle über die Delegate-Rollen „auf ewig anfechtbar", und jeder Versuch, sie zurückzugewinnen, könnte von jedem rückgängig gemacht werden, der bereit ist, Gas zu zahlen.

„Es gibt keine Konfiguration dieser Verträge, bei der eine Wiedereröffnung der Brücke sicher ist", erklärte das Unternehmen.

Der Vorfall machte sich zunächst als Marktverunsicherung bemerkbar. Cryptopolitan berichtete am 22. August, dass die On-Chain-Firma Lookonchain einen mutmaßlichen „Infinite-Mint-Angriff" kennzeichnete und schätzte, dass mehr als 500 Millionen SAND erstellt worden waren. Die südkoreanischen Börsen Upbit und Bithumb beschränkten SAND-Ein- und -auszahlungen und warnten Händler vor Volatilität. SAND notierte laut CoinMarketCap bei rund 0,042 US-Dollar mit einer Marktkapitalisierung von etwa 123 Millionen US-Dollar.