Il token SAND di The Sandbox ha subito un grave exploit cross-chain il 21-22 agosto, durante il quale un attaccante ha creato circa 329,24 trilioni di token privi di copertura in un periodo di circa cinque ore. Nonostante la cifra impressionante, l'attaccante è riuscito a estrarre solo circa 675.000 dollari di valore economico reale.

L'incidente illustra il divario tra i saldi di token visualizzati on-chain e gli asset che possono effettivamente essere riscattati o venduti. I 329 trilioni di SAND creati nell'attacco avevano un valore nominale di circa 49 miliardi di dollari, ma la maggior parte di questi token non aveva riserve corrispondenti a supportarli.

Come si è sviluppato l'exploit di SAND

L'attaccante ha preso di mira la distribuzione di SAND su Base, sfruttando la sua configurazione omnichain di LayerZero. LayerZero è un protocollo di interoperabilità ampiamente utilizzato che consente ai token di muoversi tra le chain tramite adattatori Omnichain Fungible Token (OFT), che si affidano a permessi di delega per governare le azioni cross-chain. Gli investigatori hanno stabilito che la funzione approveAndCall del token è stata utilizzata per dirottare i permessi di delega di LayerZero.

Con questo accesso, l'attaccante ha ottenuto la capacità di autorizzare un minting non autorizzato su Base. L'attività risultante ha generato 329,24 trilioni di SAND attraverso 703 eventi di conio che hanno coinvolto 173 wallet.

L'offerta legittima di SAND su Ethereum è rimasta limitata a 3 miliardi di token, il che significa che i nuovi token creati su Base erano di fatto privi di copertura e non potevano essere semplicemente riscattati contro le riserve su Ethereum.

La cifra chiave è ciò che ha effettivamente lasciato le riserve

Sebbene il conio in apparenza fosse catastrofico, l'estrazione effettiva dell'attaccante è stata di gran lunga inferiore. Circa 14,75 milioni di SAND sono stati sottratti dall'adattatore OFT sul lato Ethereum e convertiti in circa 80 ETH, del valore di circa 675.000 dollari al momento dell'attacco.

In risposta, The Sandbox ha disabilitato il bridging cross-chain che coinvolge Base e BNB Smart Chain. Secondo i resoconti disponibili sull'incidente, le riserve su Ethereum e Polygon non sono state compromesse.

L'exploit dimostra perché il valore di mercato apparente di un token può fuorviare durante un attacco a uno smart contract. Moltiplicare un prezzo di mercato legittimo per un'enorme quantità di token appena coniati non significa che esista quella quantità di liquidità.

Negli anni passati l'infrastruttura cross-chain è stata più volte un punto focale per grandi perdite nel settore crypto, e questo incidente si aggiunge a un pattern di exploit incentrati sulle configurazioni di bridge e del livello di messaggistica anziché sui contratti token sottostanti. Resta da vedere quanto rapidamente The Sandbox e altri progetti che utilizzano configurazioni di token omnichain verificheranno e rafforzeranno i controlli di delega e approvazione prima di riattivare il bridging.

Per The Sandbox, la perdita finanziaria immediata si è quindi misurata in centinaia di migliaia di dollari anziché in decine di miliardi. Ciononostante, l'incidente ha esposto gravi debolezze nei controlli dei permessi cross-chain e ha sollevato nuove preoccupazioni sulla sicurezza dell'infrastruttura di token bridge.