Токен SAND проекта The Sandbox подвергся крупному межцепочечному эксплойту 21–22 августа, в ходе которого злоумышленник за примерно пять часов создал около 329,24 триллиона необеспеченных токенов. Несмотря на внушительную цифру в заголовках, реально похищенная экономическая стоимость составила лишь около 675 000 долларов.

Инцидент демонстрирует разрыв между балансами токенов, отображаемыми в блокчейне, и активами, которые действительно можно выкупить или продать. Созданные в атаке 329 триллионов SAND имели номинальную стоимость около 49 миллиардов долларов, однако у большинства этих токенов не было соответствующих резервов.

Как развивался эксплойт SAND

Атакующий нацелился на развертывание SAND на Base, используя его омничейн-конфигурацию LayerZero. LayerZero — широко используемый протокол совместимости, позволяющий токенам перемещаться между цепочками через адаптеры Omnichain Fungible Token (OFT), которые полагаются на делегированные права для управления межцепочечными операциями. Следователи установили, что функция approveAndCall токена была использована для перехвата делегированных прав LayerZero.

С этим доступом атакующий получил возможность авторизовать несанкционированную эмиссию на Base. В результате было сгенерировано 329,24 триллиона SAND в 703 событиях эмиссии с участием 173 кошельков.

Легитимное предложение SAND на Ethereum оставалось ограниченным 3 миллиардами токенов, поэтому новые токены на Base фактически были необеспеченными и не могли быть просто выкуплены за счет резервов Ethereum.

Ключевая цифра — то, что реально покинуло резервы

Хотя эмиссия в заголовках выглядела катастрофической, фактическое извлечение средств атакующим было гораздо скромнее. Из OFT-адаптера на стороне Ethereum было выведено около 14,75 миллиона SAND и конвертировано примерно в 80 ETH стоимостью около 675 000 долларов на момент атаки.

В ответ The Sandbox отключила межцепочечное мостование с участием Base и BNB Smart Chain. По имеющимся сообщениям об инциденте, резервы на Ethereum и Polygon не были скомпрометированы.

Эксплойт показывает, почему видимая рыночная стоимость токена может вводить в заблуждение во время атаки на смарт-контракт. Умножение легитимной рыночной цены на огромное количество вновь выпущенных токенов не означает, что такой объем ликвидности реально существует.

Межцепочечная инфраструктура в прошлые годы неоднократно становилась источником крупных потерь в криптоиндустрии, и этот инцидент добавляется к серии эксплойтов, сосредоточенных на конфигурациях мостов и слоя обмена сообщениями, а не на самих базовых токен-контрактах. Остается увидеть, как быстро The Sandbox и другие проекты с омничейн-токенами проведут аудит и усилят контроль делегированных прав и одобрений перед повторным включением мостования.

Для The Sandbox прямой финансовый ущерб, таким образом, измеряется сотнями тысяч долларов, а не десятками миллиардов. Тем не менее инцидент выявил серьезные слабости в управлении межцепочечными разрешениями и вызвал новые опасения относительно безопасности инфраструктуры токенных мостов.