The Sandbox sta affrontando un sospetto exploit di infinite mint su Base, dove un indirizzo non autorizzato ha acquisito privilegi di mint e ha prodotto miliardi di SAND — una quantità di gran lunga superiore all'offerta prevista del token.

Il mint si è ampliato rapidamente durante le prime negoziazioni del 22 agosto. Il tracciamento on-chain iniziale ha rilevato più di 500 milioni di token appena creati prima che PeckShield riferisse che erano stati coniati 14,9 miliardi di SAND su due indirizzi: 0xAbE0...4D22 e 0x638C...F296.

SAND ha normalmente un'offerta totale di 3 miliardi di token, il che porta il saldo appena coniato su Base a quasi cinque volte l'offerta stabilita. L'attività è stata rilevata sulla distribuzione di SAND su Base anziché sul token della mainnet di Ethereum.

L'attaccante ottiene l'autorità di mint su SAND

L'attacco si basa su permessi di mint non autorizzati. Un indirizzo che inizia con 0x6762...257e ha ottenuto l'autorità sul contratto SAND su Base e ha iniziato a creare token senza il normale vincolo di offerta. Come tale autorità sia stata acquisita non è stato reso pubblico.

I token appena creati devono ancora raggiungere liquidità utilizzabile o infrastrutture bridge prima che il loro valore nominale possa tradursi in una corrispondente perdita di mercato; per questo motivo gli osservatori stanno monitorando i trasferimenti, l'attività sui bridge e ogni eventuale risposta degli exchange, anziché considerare l'importo coniato come un danno immediatamente realizzato.

All'ultimo controllo, SAND era scambiato vicino a 0,047 dollari su CoinMarketCap, in aumento di circa il 12% nelle 24 ore anche mentre si svolgeva l'anomala attività di mint. A quel prezzo di mercato, 14,9 miliardi di token avrebbero un valore nominale vicino ai 700 milioni di dollari, sebbene tale cifra non rappresenti fondi rubati confermati né liquidità realizzabile.

L'incidente segue da vicino l'exploit di Harmony, nel quale sono stati creati senza autorizzazione circa 4 miliardi di ONE. Harmony si è mossa per coordinare il congelamento sugli exchange mentre gli sviluppatori preparavano una patch e valutavano un rollback, dopo che gran parte della nuova offerta si era spostata verso exchange centralizzati.

Mint di token non autorizzati colpiscono più progetti

The Sandbox è ora l'ultimo progetto di questa estate a dover affrontare controlli compromessi sull'offerta di token. WEMIX aveva in precedenza subito una distinta violazione della proprietà del contratto che ha permesso il mint di 5,23 milioni di WEMIX$, con i nuovi asset successivamente spostati su più reti.

Sebbene le dinamiche differiscano nei tre casi, ciascuno ha posto il controllo dell'emissione di token direttamente al centro dell'attacco. Per The Sandbox, l'attenzione immediata è sul contratto su Base e sulla possibilità che l'offerta non autorizzata possa muoversi verso bridge, exchange decentralizzati o altre sedi con liquidità utilizzabile.

I due indirizzi identificati nell'ultimo tracciamento detenevano complessivamente 14,9 miliardi di SAND appena coniati, mentre l'attività sul contratto su Base continuava a essere oggetto di indagine.

Questo report è stato pubblicato per la prima volta da Crypto Adventure.