Le token SAND de The Sandbox a subi une attaque cross-chain majeure les 21 et 22 août, au cours de laquelle un attaquant a créé environ 329,24 billions de tokens sans garantie sur une période d'environ cinq heures. Malgré ce chiffre spectaculaire, l'attaquant n'est parvenu à extraire qu'environ 675 000 $ de valeur économique réelle.

L'incident illustre l'écart entre les soldes de tokens affichés on-chain et les actifs réellement rachetables ou vendables. Les 329 000 milliards de SAND créés lors de l'attaque représentaient une valeur nominale d'environ 49 milliards de dollars, mais la plupart de ces tokens n'étaient adossés à aucune réserve.

Comment l'exploit SAND s'est déroulé

L'attaquant a ciblé le déploiement de SAND sur Base en exploitant sa configuration omnichain LayerZero. LayerZero est un protocole d'interopérabilité largement utilisé permettant aux tokens de circuler entre chaînes via des adaptateurs OFT (Omnichain Fungible Token), qui reposent sur des permissions de délégué pour régir les actions cross-chain. Les enquêteurs ont déterminé que la fonction approveAndCall du token a été utilisée pour détourner les permissions de délégué LayerZero.

Avec cet accès, l'attaquant a obtenu la capacité d'autoriser un minting non autorisé sur Base. Cette activité a généré 329,24 billions de SAND à travers 703 événements de minting impliquant 173 portefeuilles.

L'offre légitime de SAND sur Ethereum est restée plafonnée à 3 milliards de tokens, ce qui signifie que les nouveaux tokens créés sur Base étaient effectivement sans garantie et ne pouvaient pas être simplement rachetés auprès des réserves Ethereum.

Le chiffre clé : ce qui a réellement quitté les réserves

Bien que le minting annoncé ait semblé catastrophique, l'extraction réelle de l'attaquant a été bien plus modeste. Environ 14,75 millions de SAND ont été drainés depuis l'adaptateur OFT côté Ethereum et convertis en environ 80 ETH, d'une valeur d'environ 675 000 $ au moment de l'attaque.

En réponse, The Sandbox a désactivé le bridging cross-chain impliquant Base et BNB Smart Chain. Selon les rapports d'incident disponibles, les réserves sur Ethereum et Polygon n'ont pas été compromises.

Cet exploit démontre pourquoi la valeur de marché apparente d'un token peut être trompeuse lors d'une attaque de smart contract. Multiplier un prix de marché légitime par une énorme quantité de tokens nouvellement créés ne signifie pas qu'une telle liquidité existe réellement.

L'infrastructure cross-chain a repeatedly été un point névralgique des grandes pertes crypto ces dernières années, et cet incident s'inscrit dans une série d'attaques ciblant les configurations de bridges et de couches de messagerie plutôt que les contrats de tokens eux-mêmes. Reste à voir à quelle vitesse The Sandbox et les autres projets utilisant des configurations de tokens omnichain auditeront et renforceront les contrôles de délégué et d'approbation avant de réactiver le bridging.

Pour The Sandbox, la perte financière immédiate se chiffre donc en centaines de milliers de dollars plutôt qu'en dizaines de milliards. Néanmoins, l'incident a exposé de sérieuses faiblesses dans les contrôles de permissions cross-chain et a ravivé les inquiétudes quant à la sécurité de l'infrastructure des bridges de tokens.