The Sandbox zobowiązuje się do planu rekompensat 1:1 dla ofiar ataku na mostkowane SAND
Najważniejsze informacje
- •The Sandbox wypłaci uprawnionym poszkodowanym w ataku na most z 21 sierpnia rekompensatę w stosunku 1:1 w SAND opartym na Ethereum, przy czym dwutygodniowe okno zgłoszeń otworzy się w ciągu dwóch tygodni od ogłoszenia z 27 sierpnia.
- •Uprawnieni są wyłącznie posiadacze, którzy mogą udowodnić, że w chwili ataku posiadali mostkowane SAND w sieci Base lub BNB Smart Chain — grupa ta straciła łącznie około 697 000 dolarów, natomiast posiadacze SAND na Ethereum i Polygonie nie zostali poszkodowani.
- •Atakujący wykorzystał wadę projektową kontraktów tokena SAND w sieciach Base i BSC, aby zostać administratorem, wybić fałszywe tokeny i wyprowadzić z sejfu na Ethereum około 14,7 mln SAND o wartości mniej więcej 987 000 dolarów, wyrządzając łącznie szkody sięgające blisko 1,49 mln dolarów.
- •Most pozostaje zamknięty na poziomie kontraktów we wszystkich trzech sieciach od 22 sierpnia, a The Sandbox twierdzi, że żadna konfiguracja nie pozwoli na bezpieczne ponowne otwarcie, ponieważ kontrola nad rolami delegatów jest trwale podważalna.
- •Incydent początkowo wzbudził obawy przed „atakiem nieskończonej emisji” po tym, jak Lookonchain oszacował, że wytworzono ponad 500 milionów SAND, co skłoniło południowokoreańskie giełdy Upbit i Bithumb do ograniczenia wpłat i wypłat SAND.
Użytkownicy The Sandbox poszkodowani w wyniku ataku z 21 sierpnia otrzymali 27 sierpnia pozytywną wiadomość — projekt zobowiązał się do uruchomienia planu rekompensat 1:1, wypłacanych w wersji SAND na Ethereum.
W swoim ogłoszeniu na X The Sandbox poinformowało, że w ciągu dwóch tygodni od ujawnienia sprawy 27 sierpnia otworzy dwutygodniowe okno składania wniosków o rekompensatę. Uprawnieni będą wyłącznie posiadacze tokenów, którzy w możliwym do zweryfikowania sposób wykażą, że w momencie ataku posiadali mostkowane SAND w sieciach Base i BNB Smart Chain (BSC). Łącznie ta grupa posiadaczy straciła około 697 000 dolarów.
Obietnica zwrotu środków ma znaczenie, ponieważ poszkodowane tokeny były związane z aktywnością mostu, a nie z główną podażą na Ethereum, która według firmy pozostała nienaruszona. Ograniczając uprawnienia do weryfikowalnych sald mostkowanych i wypłacając środki w SAND opartym na Ethereum, The Sandbox próbuje przywrócić użytkownikom ich zasoby bez ponownego otwierania zagrożonego mostu.
Kiedy posiadacze SAND otrzymają rekompensatę?
Według The Sandbox poszkodowani użytkownicy będą musieli odczekać co najmniej miesiąc, zanim faktycznie otrzymają swoje środki. Proces składania wniosków ruszy w ciągu dwóch tygodni od 27 sierpnia, a samo okno zgłoszeń pozostanie następnie otwarte przez kolejne dwa tygodnie. Zwrot zostanie przekazany w postaci SAND opartego na Ethereum, a uprawnieni będą wyłącznie posiadacze mostkowanego SAND w sieciach Base i BSC z momentu naruszenia.
Posiadacze wersji SAND na Ethereum w ogóle nie ucierpieli w tym incydencie — podaż w tej sieci nadal wynosi 3 miliardy tokenów. SAND oparty na Polygonie również nie był narażony, ponieważ działa przez osobny most.
„Salda w obu sieciach są nienaruszone i nie są wymagane żadne działania ze strony użytkowników” — wyjaśniło The Sandbox w swoim podsumowaniu po incydencie.
The Sandbox obwinia za atak kontrakty tokenów
The Sandbox oświadczyło, że luka nie pochodziła z żadnych kluczy kontrolowanych po jego stronie, wskazując zamiast tego na kontrakty tokena SAND w sieciach Base i BSC. Zgodnie z podsumowaniem po incydencie kontrakt tokena został skonfigurowany tak, aby pełnił jednocześnie funkcję zarejestrowanej aplikacji mostu — rozwiązanie to miało oszczędzić użytkownikom dodatkowe transakcje. Problem polegał na tym, że warstwa komunikacyjna interpretowała każdy komunikat nadchodzący z tego kierunku jako bezpośrednie instrukcje od samego The Sandbox.
Atakujący wykorzystali tę lukę, wyrządzając w czterech krokach szkody o łącznej wartości blisko 1,49 mln dolarów:
- Najpierw wykorzystali funkcję wywołania (call), aby zarejestrować własny adres jako uprawnionego administratora.
- Z uprawnieniami administratora zmodyfikowali ustawienia weryfikacji tak, aby pojedyncze zatwierdzenie z ich własnego adresu wystarczało do potwierdzenia komunikatu mostu.
- Następnie przesłali fałszywe komunikaty depozytowe, których efektem była emisja SAND w sieciach Base i BSC w oparciu o depozyty na Ethereum, które nigdy nie nastąpiły.
- Na koniec sprzedali część fałszywych tokenów za ether i wykorzystali funkcję mostu zwrotnego, aby wyprowadzić prawdziwe SAND z sejfu na Ethereum.
Analiza śledcza oszacowała bezpośrednie wyprowadzenie z sejfu na 14,742,341.84 SAND. Atakujący wszedł w posiadanie około 987 000 dolarów.
Most pozostaje zamknięty
The Sandbox zamknęło most na poziomie kontraktów we wszystkich trzech sieciach 22 sierpnia o godzinie 05:26 UTC i informuje, że od 02:21 UTC tego dnia nie opuścił go żaden SAND. W pierwszym publicznym oświadczeniu, opublikowanym 22 sierpnia, lukę określono jako „w pełni powstrzymaną”, a stratę oszacowano na mniej niż 0,01% całkowitej podaży SAND.
Firma nie rozbudzała w tym czasie nadziei na ponowne otwarcie mostu. Ponieważ objęte atakiem kontrakty trwale pozwalają aplikacji na rekonfigurację samej siebie, kontrola nad rolami delegatów jest „podważalna na zawsze”, a próbę ich odzyskania mógłby unieważnić każdy, kto jest gotów zapłacić za gaz.
„Nie istnieje żadna konfiguracja tych kontraktów, w której ponowne otwarcie mostu byłoby bezpieczne” — oświadczyła firma.
Sprawa początkowo ujawniła się jako niepokój na rynku. Cryptopolitan donosiło 22 sierpnia, że firma on-chain Lookonchain zgłosiła podejrzenie „ataku nieskończonej emisji” i oszacowała, że wytworzono ponad 500 milionów SAND. Południowokoreańskie giełdy Upbit i Bithumb ograniczyły wpłaty i wypłaty SAND oraz ostrzegły traderów przed zmiennością. Według CoinMarketCap SAND notowany był w okolicach 0,042 dolara, przy kapitalizacji rynkowej około 123 mln dolarów.
