Проект The Sandbox столкнулся с предполагаемым эксплойтом бесконечной эмиссии на Base: неавторизованный адрес получил привилегии на выпуск токенов и создал миллиарды SAND — объём, значительно превышающий запланированное предложение токена.

Эмиссия стремительно увеличилась в начале торгов 22 августа. Первоначальный ончейн-мониторинг зафиксировал более 500 млн вновь созданных токенов, после чего по сообщению PeckShield на двух адресах — 0xAbE0...4D22 и 0x638C...F296 — было выпущено 14,9 млрд SAND.

Общий объём предложения SAND обычно составляет 3 млрд токенов, то есть только что выпущенный баланс на стороне Base почти в пять раз превышает установленное предложение. Активность была обнаружена в контракте SAND, развёрнутом на Base, а не в токене основной сети Ethereum.

Атакующий получил права на эмиссию SAND

В основе атаки лежат неавторизованные права на выпуск токенов. Адрес, начинающийся с 0x6762...257e, получил контроль над контрактом SAND на Base и начал создавать токены без обычного ограничения предложения. Способ получения этих полномочий публично не раскрывался.

Чтобы номинальная стоимость вновь созданных токенов превратилась в соответствующие рыночные потери, они должны сначала получить доступ к пригодной ликвидности или мостовой инфраструктуре. Именно поэтому наблюдатели следят за переводами, активностью мостов и реакцией бирж, а не рассматривают выпущенный объём как немедленно реализованный ущерб.

На момент последней проверки SAND торговался около $0,047 на CoinMarketCap, показав рост примерно на 12% за 24 часа даже на фоне разворачивающейся аномальной эмиссии. При такой рыночной цене 14,9 млрд токенов имели бы номинальную стоимость около $700 млн, хотя эта цифра не отражает подтверждённых похищенных средств или реализуемой ликвидности.

Инцидент произошёл вскоре после эксплойта Harmony, в ходе которого без авторизации было создано около 4 млрд ONE. Harmony начала координировать заморозку средств на биржах, пока разработчики готовили патч и рассматривали откат сети, после того как значительная часть нового предложения переместилась в сторону централизованных бирж.

Неавторизованные эмиссии токенов затронули несколько проектов

The Sandbox стал последним этим летом проектом, столкнувшимся со скомпрометированным контролем предложения токенов. Ранее WEMIX перенёс отдельное нарушение прав собственности на контракт, которое позволило выпустить 5,23 млн WEMIX$, причём вновь созданные активы впоследствии были перемещены по нескольким сетям.

Хотя механика трёх инцидентов различается, в каждом из них контроль над выпуском токенов оказался в центре атаки. В случае The Sandbox ближайший объект внимания — контракт на Base и вопрос, сможет ли неавторизованное предложение переместиться в мосты, на децентрализованные биржи или другие площадки с пригодной ликвидностью.

Два адреса, выявленных при последнем отслеживании, совместно удерживали 14,9 млрд вновь выпущенных SAND, пока активность контракта на Base продолжала расследоваться.

Этот материал впервые опубликован Crypto Adventure.