Компания The Sandbox подтвердила взлом своего токенного моста, который привёл к несанкционированному выпуску 14,9 млрд токенов SAND — шок предложения, случившийся в тот же момент, когда Coinbase объявила о делистинге фьючерсов SAND. Инцидент входит в число наиболее значимых сбоев смарт-контрактов для крупного токена метавселенной и подчёркивает, что кросс-чейн-инфраструктура остаётся самым слабым звеном в безопасности Web3. SAND — это утилитарный токен платформы The Sandbox, виртуального мира, поддерживаемого Animoca Brands, где он используется для покупки участков LAND и внутриигровых активов, стейкинга и голосования по вопросам управления, поэтому вопросы целостности предложения затрагивают всю экономику платформы.

Что произошло при взломе моста Sandbox

The Sandbox подтвердила, что в результате атаки на её токенный мост было создано 14,9 млрд неподкреплённых SAND, сообщает crypto.news. Команда заявила, что инцидент был локализован, однако выпущенные токены не были обеспечены залогом на исходной цепочке.

Мосты работают по принципу блокировки токенов в одной цепочке и выпуска эквивалентных представлений в другой. Если механизм выпуска скомпрометирован, злоумышленник может создавать токены без соответствующего депозита, размывая обращающееся предложение и угрожая привязке между «завёрнутыми» (wrapped) и нативными активами.

Несанкционированная эмиссия важна потому, что она атакует токеномику напрямую, а не отдельный кошелёк. Масштаб необычен даже по меркам эксплойтов: 14,9 млрд токенов — это примерно в пять раз больше запланированного максимального предложения SAND в 3 млрд, то есть одна лишь неподкреплённая эмиссия превышает весь предусмотренный лимит токена. Мост, который можно обмануть настолько, чтобы выпустить столько SAND, подрывает доверие к каждому балансу wrapped SAND, пока команда не отчитается о неподкреплённом предложении и не нейтрализует его. Сбои мостов неоднократно оказывались самым тяжёлым по последствиям классом инцидентов в блокчейнах: Ronin Network потеряла около 625 млн долларов в марте 2022 года, Poly Network — около 611 млн долларов в 2021 году, а Wormhole — около 325 млн долларов в феврале 2022 года; аналитическая фирма Chainalysis отнесла примерно 2 млрд долларов крипто-краж 2022 года на счёт взломов кросс-чейн мостов — крупнейшей отдельной категории в том году. Эта закономерность перекликается с более широкими судебными делами о хакерских атаках, которые сейчас рассматриваются в судах.

Почему делистинг фьючерсов на Coinbase усиливает давление на SAND

Coinbase объявила о делистинге фьючерсов SAND через свой рыночный канал, в публикации на X. Этот шаг лишает трейдеров регулируемой площадки для хеджирования и направленных позиций именно тогда, когда им особенно нужно управлять рисками по токену.

Делистинги сокращают доступность и разжижают ликвидность деривативов. Чем меньше площадок для торговли фьючерсами, тем шире спреды и ниже возможности для коротких позиций и хеджирования — условия, которые могут усиливать волатильность на базовом спотовом рынке по мере закрытия или миграции позиций.

Сочетание активного взлома моста и делистинга фьючерсов усугубляет неопределённость. Держатели сталкиваются как с вопросом целостности предложения вследствие эмиссии, так и с вопросом ликвидности из-за потери крупного деривативного листинга — двойной навес, который оставляет мало места для оптимистичного сценария восстановления. Биржи, как правило, рассматривали неподкреплённые эмиссии как основание для приостановки депозитов затронутого актива до тех пор, пока эмитент не подтвердит целостность предложения — именно эта логика определяет вопрос, с которым теперь сталкиваются другие площадки со своими листингами SAND.

SAND также торгуется на других международных площадках: биржи, такие как Bithumb, публикуют уведомления, связанные с токеном. Трейдеры, следящие за ситуацией, будут ждать подтверждения того, что неподкреплённые SAND изолированы, технического разбора от команды, а также дальнейших реакций бирж на решение Coinbase.

Более широкие последствия для кросс-чейн безопасности

Этот эпизод напоминает, что по мере внедрения протоколами всё более автоматизированной кросс-чейн логики — включая управляемые оракулами и агентами схемы мостования, которые всё чаще предлагаются для он-чейн ИИ-систем — поверхность атаки расширяется быстрее, чем аудит, который её охватывает. После потерь от взломов мостов в 2022 году независимые аудиты, расширенный надзор за валидаторами, мониторинг в реальном времени и программы bug bounty стали базовыми требованиями к операторам мостов, и именно этот стандарт теперь определяет, как будет оцениваться любое возвращение моста The Sandbox. Любой децентрализованный ИИ-стек, полагающийся на переведённые через мост активы для оплаты вычислений или расчётов за данные, наследует тот же риск компрометации механизма эмиссии, который только что продемонстрировала The Sandbox, — проблему управления, которую регуляторам, изучающим песочницы крипто-инноваций, в конечном итоге придётся решать.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов несут значительные риски. Всегда проводите собственное исследование перед принятием решений.