The Sandbox zmaga się z podejrzanym exploit'em typu infinite mint w sieci Base, w którym nieautoryzowany adres uzyskał uprawnienia do mintowania i stworzył miliardy SAND — ilość znacznie przewyższającą zamierzoną podaż tokena.

Mintowanie rozrosło się gwałtownie we wczesnych godzinach handlu 22 sierpnia. Początkowe śledzenie on-chain uchwyciło ponad 500 milionów nowo utworzonych tokenów, zanim PeckShield poinformował, że na dwóch adresach wybito 14,9 miliarda SAND: 0xAbE0...4D22 i 0x638C...F296.

SAND ma normalnie całkowitą podaż wynoszącą 3 miliardy tokenów, co oznacza, że świeżo wybita podaż po stronie Base jest niemal pięciokrotnie większa od ustalonej podaży. Aktywność wykryto we wdrożeniu SAND w sieci Base, a nie w tokenie na głównej sieci Ethereum.

Atakujący przejmuje uprawnienia do mintowania SAND

Atak opiera się na nieautoryzowanych uprawnieniach do mintowania. Adres zaczynający się od 0x6762...257e uzyskał kontrolę nad kontraktem SAND na Base i rozpoczął tworzenie tokenów bez zwykłego ograniczenia podaży. Sposób uzyskania tej kontroli nie został upubliczniony.

Nowo utworzone tokeny muszą najpierw dotrzeć do użytecznej płynności lub infrastruktury mostów, zanim ich wartość nominalna przełoży się na odpowiednią stratę rynkową — dlatego obserwatorzy śledzą transfery, aktywność na mostach i ewentualne reakcje giełd, zamiast traktować wybitą kwotę jako natychmiast zrealizowaną szkodę.

Według ostatniego sprawdzenia SAND notowany był w okolicach 0,047 USD na CoinMarketCap, z wzrostem o około 12% w ciągu 24 godzin, nawet gdy rozgrywało się nietypowe mintowanie. Po tej cenie rynkowej 14,9 miliarda tokenów miałoby wartość nominalną bliską 700 milionom USD, choć kwota ta nie odzwierciedla potwierdzonych skradzionych środków ani realizowalnej płynności.

Incydent następuje wkrótce po exploicie Harmony, w którym bez autoryzacji utworzono około 4 miliardów ONE. Harmony podjął kroki w celu skoordynowania zamrożeń na giełdach, podczas gdy deweloperzy przygotowywali poprawkę i rozważali rollback, po tym jak znaczna część nowej podaży skierowała się w stronę giełd scentralizowanych.

Nieautoryzowane mintowanie tokenów dotyka kolejnych projektów

The Sandbox to teraz kolejny projekt w tym lecie, który musi zmierzyć się z przejętą kontrolą nad podażą tokenów. WEMIX wcześniej padł ofiarą osobnego naruszenia własności kontraktu, które umożliwiło wybicie 5,23 miliona WEMIX$, a nowo utworzone aktywa zostały następnie przeniesione przez wiele sieci.

Choć mechanika różni się między tymi trzema przypadkami, każdy z nich umieścił kontrolę nad emisją tokenów w samym centrum ataku. W przypadku The Sandbox bezpośrednim punktem zainteresowania jest kontrakt na Base oraz to, czy nieautoryzowana podaż może trafić do mostów, zdecentralizowanych giełd lub innych miejsc z użyteczną płynnością.

Dwa adresy zidentyfikowane w najnowszym śledzeniu posiadały łącznie 14,9 miliarda nowo wybitego SAND, podczas gdy aktywność kontraktu na Base była nadal badana.

Ten raport został pierwotnie opublikowany przez Crypto Adventure.