The Sandbox подверглась серьёзному нарушению безопасности, в результате которого злоумышленники, по имеющимся данным, выпустили 49 миллиардов необеспеченных токенов SAND, поставив под угрозу всю ликвидность SAND проекта в сетях BNB Smart Chain (BSC) и Base. Согласно информации, опубликованной в X пользователем @coinbureau, команда The Sandbox подтвердила факт эксплойта и приступила к изоляции ликвидности SAND в обеих сетях. Проект также отключил работу мостов между BSC и Base в обоих направлениях на время оценки инцидента.

The Sandbox готовит план компенсаций для пострадавших поставщиков ликвидности и настоятельно призывает пользователей не взаимодействовать с SAND на BSC или Base до дальнейшего уведомления. Инцидент стал значимым событием в сфере безопасности для токена SAND и побудил проект ограничить активность в двух блокчейн-сетях, пока продолжается работа по локализации последствий.

The Sandbox — это базирующийся на блокчейне виртуальный мир под управлением Animoca Brands, в котором пользователи покупают, осваивают и монетизируют участки цифровой земли, известные как LAND; SAND — нативный токен платформы, используемый для внутриигровых транзакций, стейкинга и участия в управлении. Токен был выпущен с максимальным объёмом предложения в 3 миллиарда, и эта цифра означает, что заявленный несанкционированный выпуск в 49 миллиардов более чем в шестнадцать раз превышает всё запланированное предложение токена.

Злоумышленники выпустили 49 миллиардов необеспеченных SAND

Сообщаемый эксплойт заключался в создании 49 миллиардов токенов SAND, не обеспеченных соответствующими активами. Минтинг — это создание новых криптовалютных токенов в соответствии с правилами, установленными базовым смарт-контрактом токена или блокчейн-инфраструктурой. В надлежащим образом контролируемой системе выпуск токенов регулируется заранее определёнными механизмами, призванными предотвратить несанкционированное создание. Судя по всему, в ходе атаки эти механизмы контроля были обойдены, что позволило злоумышленникам создать значительное количество SAND.

Информация, опубликованная @coinbureau, не содержит дополнительных подробностей о конкретной уязвимости, использованной в атаке, и не называет лиц, ответственных за эксплойт. Тем не менее заявленный масштаб несанкционированного выпуска побудил команду The Sandbox немедленно принять меры по ограничению активности SAND в затронутых сетях.

The Sandbox подтверждает эксплойт

Команда The Sandbox подтвердила, что эксплойт произошёл, и приступила к мерам по локализации последствий. Одним из основных действий стала изоляция ликвидности SAND на BSC и Base. Проект также отключил мосты между обеими сетями в обоих направлениях.

Мосты — это блокчейн-инфраструктура, позволяющая активам или информации перемещаться между разными сетями. Отключение таких соединений помогает предотвратить распространение инцидента из одной сети в другую через кроссчейн-переводы. Ограничивая работу мостов с участием BSC и Base, The Sandbox ограничивает перемещение SAND на время расследования нарушения безопасности и определения надлежащих ответных мер. Проект также рекомендовал пользователям воздержаться от взаимодействия с SAND в двух затронутых сетях до дальнейшего уведомления.

Возможное влияние на поставщиков ликвидности

Нарушение безопасности также затронуло поставщиков ликвидности, которых принято называть LP. Поставщики ликвидности размещают активы в децентрализованных торговых пулах, позволяя пользователям совершать сделки с токенами без использования традиционной централизованной книги ордеров. Взамен поставщики ликвидности могут получать комиссии или другие вознаграждения в зависимости от протокола.

The Sandbox готовит план компенсаций для пострадавших LP после сообщений об эксплойте. Доступная информация не уточняет размер компенсационного пула, требования к участникам или порядок распределения компенсаций. Предполагается, что эти сведения будут иметь важное значение для поставщиков ликвидности, пытающихся определить, как инцидент может повлиять на их позиции. До публикации дополнительной информации пользователям рекомендуется следовать инструкциям проекта и не взаимодействовать с SAND на BSC и Base.

Ограничения на работу мостов затрагивают BSC и Base

Решение отключить мосты в обоих направлениях между затронутыми сетями стало ещё одной значимой частью реакции The Sandbox. Кроссчейн-мосты могут обеспечивать важную функциональность, позволяя пользователям перемещать активы между блокчейн-экосистемами. В то же время во время инцидента безопасности они требуют особого внимания, поскольку иначе несанкционированные или скомпрометированные активы могут быть переведены из одной сети в другую.

Отключая мосты, связанные с BSC и Base, The Sandbox пытается ограничить дальнейшее перемещение SAND через эти каналы. Эта мера также означает, что пользователи могут временно потерять доступ к обычной кроссчейн-функциональности для SAND в затронутых сетях. В предоставленной информации проект не указал, когда услуги мостов будут восстановлены.

Кроссчейн-инфраструктура фигурировала и в ряде крупнейших инцидентов безопасности в истории отрасли, включая взлом Ronin Network в марте 2022 года, повлёкший убытки на сумму более 600 миллионов долларов, и эксплойт моста Wormhole в феврале 2022 года, связанный примерно с 320 миллионами долларов. The Sandbox не раскрыла, сыграла ли её собственная мостовая инфраструктура роль в текущем инциденте, а опубликованная на данный момент информация не позволяет установить, каким образом была проведена несанкционированная эмиссия. Тем не менее исторический опыт показывает, почему мосты и механизмы контроля выпуска токенов рассматриваются проектами, работающими в нескольких сетях, как критически важные поверхности безопасности.

Пользователям настоятельно рекомендовано воздержаться от операций с SAND на BSC и Base

The Sandbox выпустила прямое предупреждение для пользователей, касающееся активности SAND на BSC и Base. Пользователей настоятельно призвали не взаимодействовать с SAND ни в одной из этих сетей до дальнейшего уведомления. Это предупреждение особенно актуально после сообщения о выпуске 49 миллиардов необеспеченных токенов: транзакции с затронутым токеном во время активного инцидента безопасности могут подвергать пользователей дополнительным рискам, особенно пока команда проекта продолжает расследовать сам эксплойт.

Согласно опубликованной проектом информации, ограничение касается именно SAND на BSC и Base. Поэтому пользователям следует внимательно отслеживать официальные обновления, прежде чем пытаться торговать, переводить или иным образом взаимодействовать с SAND в этих сетях.

План компенсаций всё ещё находится в стадии подготовки

The Sandbox готовит план компенсаций для поставщиков ликвидности, пострадавших от инцидента. План призван решить проблему последствий, с которыми столкнулись LP после заявленного нарушения безопасности, однако конкретные подробности пока не предоставлены. Отсутствие информации о механизме компенсаций означает, что пострадавшим пользователям придётся дождаться дополнительных разъяснений от проекта.

Инцидент также подчёркивает важность мер контроля безопасности в отношении выпуска токенов и кроссчейн-инфраструктуры. Уязвимость, позволяющая несанкционированно создавать токены, может иметь последствия и за пределами того блокчейна, в котором произошёл эксплойт, особенно когда ликвидность и мосты связывают несколько сетей.

Сейчас реакция The Sandbox сосредоточена на локализации последствий. Команда подтвердила эксплойт, изолировала ликвидность SAND на BSC и Base, отключила мосты между обеими сетями в обоих направлениях и приступила к подготовке компенсаций для пострадавших LP. Проект также попросил пользователей воздержаться от взаимодействия с SAND в затронутых сетях до дальнейшего уведомления. К открытым вопросам, определяющим дальнейшее развитие событий, относятся размер и критерии участия в плане компенсаций, сроки восстановления работы мостов и результаты расследования того, как произошла несанкционированная эмиссия. Заявленное нарушение безопасности, связанное с 49 миллиардами необеспеченных SAND, остаётся активным инцидентом, и для определения полного масштаба последствий и следующих шагов для пострадавших пользователей и поставщиков ликвидности потребуется дополнительная информация из официальных источников.