The Sandbox potwierdziło exploit na swoim moście tokenowym, który zaowocował nieautoryzowanym wygenerowaniem 14,9 miliarda tokenów SAND — szokiem podażowym, który nastąpił dokładnie w momencie, gdy Coinbase przystąpiła do delistingu futures na SAND. Incydent zalicza się do poważniejszych awarii smart kontraktów dotyczących ważnego tokena metaverse i pokazuje, że infrastruktura międzyłańcuchowa pozostaje najsłabszym ogniwem bezpieczeństwa Web3. SAND to token użytkowy The Sandbox — wspieranej przez Animoca Brands platformy świata wirtualnego, na której służy do kupowania działek LAND i zasobów w grze, stakingu oraz głosowania w sprawach zarządzania — dlatego pytania o integralność podaży dotyczą całej ekonomii platformy.

Co się stało podczas ataku na most Sandbox

The Sandbox potwierdziło, że exploit na jego moście tokenowym doprowadził do utworzenia 14,9 miliarda tokenów SAND bez pokrycia, według crypto.news. Zespół zapewnił, że incydent został powstrzymany, ale wygenerowane tokeny nie miały pokrycia w kolateralu na łańcuchu źródłowym.

Mosty działają w ten sposób, że blokują tokeny na jednym łańcuchu i generują równoważne reprezentacje na innym. Gdy zagrożona zostaje instancja odpowiedzialna za bicie tokenów, atakujący może wytworzyć tokeny bez odpowiadającego im depozytu, rozmywając podaż w obiegu i zagrażając powiązaniu między wersjami wrapped a natywnymi aktywami.

Nieautoryzowane bicie tokenów ma znaczenie, ponieważ uderza bezpośrednio w tokenomikę, a nie w pojedynczy portfel. Skala jest nietypowa nawet jak na standardy exploitów: 14,9 miliarda tokenów to około pięciokrotność zaprojektowanej dla SAND maksymalnej podaży wynoszącej 3 miliardy, co oznacza, że sam niepodparty mint przekracza cały planowany limit tego tokena. Most, który da się nabrać na wyemitowanie tak dużej ilości SAND, podważa zaufanie do każdego salda wrapped SAND, dopóki zespół nie rozliczy i nie zneutralizuje podaży bez pokrycia. Awariom mostów wielokrotnie przypisywano najwyższy poziom dotkliwości wśród incydentów on-chain — Ronin Network straciło około 625 milionów dolarów w marcu 2022 r., Poly Network około 611 milionów dolarów w 2021 r., a Wormhole około 325 milionów dolarów w lutym 2022 r. — a firma analityczna Chainalysis przypisała około 2 miliardów dolarów z kradzieży krypto w 2022 r. włamaniom na mosty międzyłańcuchowe, co było największą pojedynczą kategorią w tamtym roku. To wzorzec znajdujący echo w szerszych sprawach egzekwowania prawa wobec hakerów, które toczą się obecnie przed sądami.

Dlaczego delisting futures przez Coinbase zwiększa presję na SAND

Coinbase zasygnalizowała delisting futures na SAND za pośrednictwem swojego kanału rynkowego, we wpisie na X. Ten krok odbiera regulowane miejsce do hedgingu i ekspozycji kierunkowej dokładnie wtedy, gdy traderzy najbardziej potrzebują narzędzi do zarządzania ryzykiem związanym z tym tokenem.

Delistingi ograniczają dostępność i ścieńczają płynność instrumentów pochodnych. Mniejsza liczba miejsc handlu futures oznacza szersze spready i mniejsze możliwości gry na spadki lub hedgingu — warunki, które mogą wzmacniać zmienność na powiązanym rynku spot, gdy pozycje są zamykane lub przenoszą się w inne miejsca.

Połączenie aktywnego exploitu na moście i delistingu futures potęguje niepewność. Posiadacze stają jednocześnie wobec pytania o integralność podaży wynikającego z wydarzenia mintującego oraz pytania o płynność wynikającego z utraty ważnego listingu instrumentów pochodnych — podwójne obciążenie rynkowe, które zostawia mało miejsca na klarowną narrację o odbiciu. Giełdy co do zasady traktowały niepodparte minty jako podstawę do zawieszenia depozytów w dotkniętym aktywie do czasu, gdy emitent zweryfikuje integralność podaży, i to właśnie w tym kontekście należy rozpatrywać pytanie, przed którym stoją teraz inne platformy w odniesieniu do własnych listingów SAND.

SAND jest notowany także na innych platformach na świecie, a giełdy takie jak Bithumb publikują komunikaty związane z tym tokenem. Traderzy obserwujący sytuację będą czekać na potwierdzenie, że SAND bez pokrycia został odizolowany, na techniczny post-mortem od zespołu oraz na ewentualne dalsze reakcje giełd po decyzji Coinbase.

Szersze konsekwencje dla bezpieczeństwa międzyłańcuchowego

Ten epizod przypomina, że w miarę jak protokoły wprowadzają coraz więcej zautomatyzowanej logiki międzyłańcuchowej — w tym coraz częściej proponowane dla systemów AI on-chain konstrukcje mostów oparte na oracle'ach i agentach — powierzchnia ataku rozszerza się szybciej niż pokrywające ją audyty. Po stratach na mostach w 2022 r. niezależne audyty, szerszy nadzór nad walidatorami, monitoring w czasie rzeczywistym i programy bug bounty stały się podstawowymi oczekiwaniami wobec operatorów mostów i to właśnie ten standard określa obecnie, jak oceniany byłby ewentualny powrót mostu The Sandbox. Każda zdecentralizowana architektura AI oparta na bridgowanych aktywach do płatności za moc obliczeniową czy rozliczania danych dziedziczy to samo ryzyko związane z autorytetem emitowania, które The Sandbox właśnie zademonstrowało — problem zarządczy, z którym wcześniej czy później będą musieli zmierzyć się regulatorzy badający sandboxy innowacji kryptowalutowych.

Zastrzeżenie: Ten artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych niosą istotne ryzyko. Zawsze przeprowadź własny research przed podjęciem decyzji.