Gli utenti di The Sandbox colpiti dall'exploit del 21 agosto hanno ricevuto una notizia positiva il 27 agosto, quando il progetto si è impegnato in un piano di risarcimento 1:1 da pagare nella versione Ethereum di SAND.

Nel suo annuncio su X, The Sandbox ha comunicato che aprirà una finestra di richiesta di risarcimento della durata di due settimane entro due settimane dalla divulgazione del 27 agosto. L'idoneità è limitata ai possessori di token che possono dimostrare in modo verificabile di aver detenuto SAND bridged su Base e BNB Smart Chain (BSC) al momento dell'exploit. Complessivamente, quel gruppo di possessori ha perso circa 697.000 dollari.

La promessa di rimborso è rilevante perché i token colpiti erano legati all'attività del bridge anziché alla fornitura principale su Ethereum, che secondo l'azienda è rimasta intatta. Limitando l'idoneità ai saldi bridged dimostrabili e pagando in SAND basato su Ethereum, The Sandbox cerca di ripristinare le disponibilità degli utenti senza riaprire il bridge compromesso.

Quando riceveranno il risarcimento i possessori di SAND?

Secondo The Sandbox, gli utenti colpiti dovranno attendere almeno un mese prima di ricevere effettivamente i propri fondi. Il processo di richiesta si aprirà entro due settimane dal 27 agosto e la finestra di richiesta rimarrà poi aperta per altre due settimane. Il rimborso sarà inviato in SAND basato su Ethereum e saranno idonei solo i possessori di SAND bridged su Base e BSC al momento della violazione.

I possessori della versione Ethereum di SAND sono stati completamente risparmiati dall'incidente, con la fornitura sulla catena ancora pari a 3 miliardi di token. Anche il SAND basato su Polygon non ha avuto alcuna esposizione perché funziona tramite un bridge separato.

"I saldi su entrambe le catene sono intatti e non è richiesta alcuna azione da parte degli utenti", ha chiarito The Sandbox nel suo post-mortem.

The Sandbox attribuisce l'exploit ai contratti del token

The Sandbox ha dichiarato che la falla non ha avuto origine da alcuna chiave controllata dalla propria parte, indicando invece i contratti del token SAND su Base e BSC. Secondo il post-mortem, il contratto del token era configurato per svolgere anche il ruolo di applicazione registrata del bridge, una soluzione pensata per evitare agli utenti transazioni aggiuntive. Il problema era che il livello di messaggistica interpretava qualsiasi input proveniente da quella direzione come istruzioni dirette di The Sandbox stessa.

Gli aggressori hanno sfruttato la falla per causare quasi 1,49 milioni di dollari di danni economici complessivi in quattro passaggi:

1. Hanno prima utilizzato la funzione di chiamata per registrare il proprio indirizzo come amministratore autorizzato.
2. Con i diritti di amministratore, hanno riscritto le impostazioni di verifica in modo che una singola approvazione dal loro indirizzo fosse sufficiente a confermare un messaggio del bridge.
3. Hanno poi inviato messaggi di deposito falsi, che hanno creato SAND su Base e BSC contro depositi su Ethereum mai avvenuti.
4. Infine, hanno venduto parte dei token falsi in cambio di ether e hanno utilizzato la funzione di reverse-bridge per prelevare SAND reale dal vault Ethereum.

Le analisi forensi hanno quantificato il prelievo diretto dal vault in 14.742.341,84 SAND. L'aggressore si è allontanato con circa 987.000 dollari.

Il bridge rimane chiuso

The Sandbox ha chiuso il bridge a livello di contratto su tutte e tre le catene il 22 agosto alle 05:26 UTC e afferma che nessun SAND è uscito dalle 02:21 UTC di quel giorno. Il suo primo avviso pubblico, pubblicato il 22 agosto, ha definito la vulnerabilità "completamente contenuta" e ha quantificato l'impatto a meno dello 0,01% della fornitura totale di SAND.

Nel frattempo, l'azienda non ha alimentato speranze sulla riapertura del bridge. Poiché i contratti colpiti consentono in via permanente all'applicazione di riconfigurarsi, il controllo sui ruoli di delega è "contestabile per sempre" e qualsiasi tentativo di recuperarlo potrebbe essere annullato da chiunque sia disposto a pagare il gas.

"Non esiste alcuna configurazione di questi contratti in cui la riapertura del bridge sia sicura", ha dichiarato l'azienda.

L'episodio è emerso inizialmente come allarme di mercato. Cryptopolitan ha riferito il 22 agosto che l'azienda di analisi on-chain Lookonchain aveva segnalato un presunto "attacco di mint infinito" e stimato che fossero stati creati più di 500 milioni di SAND. Le borse sudcoreane Upbit e Bithumb hanno limitato depositi e prelievi di SAND e hanno avvisato i trader della volatilità. SAND veniva scambiato intorno a 0,042 dollari con una capitalizzazione di mercato di circa 123 milioni di dollari, secondo CoinMarketCap.