The Sandbox سترد لضحايا استغلال الجسر بنسبة 1:1 بعد سرقة 697 ألف دولار من SAND

تلقى مستخدمو The Sandbox المتأثرون بهجوم 21 أغسطس أخباراً إيجابية في وقت مبكر اليوم عندما التزم المشروع بخطة تعويض بنسبة 1:1 سيتم دفعها في نسخة SAND على إيثريوم.

ووفقاً لإعلان The Sandbox، ستفتح نافذة مطالبة تعويض لمدة أسبوعين خلال أسبوعين من إفصاحها في 27 أغسطس.

تغطي خطة التعويض فقط حاملي الرموز الذين أثبتوا أنهم احتفظوا بـ SAND المربوط على Base وسلسلة BNB الذكية (BSC) في وقت الاستغلال. معاً، خسر هذا المجموعة من حاملي الرموز حوالي 697,000 دولار.

متى سيتلقى حاملو SAND التعويض؟

ووفقاً لـ The Sandbox، سيضطر المتأثرون للانتظار شهرًا على الأقل لتلقي تعويضاتهم فعلياً.

• ستفتح عملية المطالبة خلال أسبوعين من 27 أغسطس 27.
• ستكون نافذة المطالبة مفتوحة لمدة أسبوعين آخرين.

سيتم إرسال الاسترداد كـ SAND قائم على إيثريوم، مع أهلية حاملي SAND المربوط على Base وBSC فقط في وقت الاختراق.

تم إنقاذ حاملي نسخة SAND على إيثريوم تماماً من الحادث، مع بقاء عرض السلسلة عند 3 مليار رمز. كما لم يكن لـ SAND القائم على Polygon أي تعرض لأنه يعمل عبر جسر منفصل.

"الأرصدة على كلتا السلسلتين سليمة ولا يلزم أي إجراء من المستخدم،" أوضح The Sandbox في تقرير ما بعد الحادث.

The Sandbox تلوم العقود الذكية للرمز

قالت The Sandbox إن العيب لم يأتِ من أي مفاتيح تتحكم فيها من جانبها، مشيرةً إلى عقود رمز SAND على Base وBSC بدلاً من ذلك.

ووفقاً لتقرير ما بعد الحادث، تم إعداد عقد الرمز ليكون بمثابة التطبيق المسجل للجسر. المشكلة كانت أن طبقة الرسائل فسرت أي مدخلات من هذا الاتجاه على أنها تعليمات مباشرة من The Sandbox نفسها.

كان من المفترض أن يوفر هذا الإعداد للمستخدمين معاملات إضافية. بدلاً من ذلك، استغل المهاجم الثغرة لإلحاق ضرر اقتصادي إجمالي قدره 1.49 مليون دولار تقريباً في أربع خطوات.

• أولاً، استخدموا ميزة الاتصال لتسجيل عنوانهم الخاص كمسؤول مصرح له.
• وبصفتهم مسؤولين، أعادوا كتابة إعدادات التحقق بحيث كانت موافقة واحدة من عنوانهم الخاص كافية لتأكيد رسالة الجسر.
• ثم قدموا رسائل إيداع مزيفة، والتي سكّت SAND على Base وBSC مقابل إيداعات على إيثريوم لم تحدث أبداً.
• أخيراً، باعوا بعض الرموز المزيفة مقابل إيثر واستخدموا وظيفة الجسر العكسي لسحب SAND حقيقي من خزان إيثريوم.

وضعت التحقيقات الجنائية سحب الخزان المباشر عند 14,742,341.84 SAND. غادر المهاجم بحوالي 987,000 دولار.

الجسر لا يزال مغلقاً

The Sandbox أغلقت الجسر على مستوى العقد عبر السلاسل الثلاث في 22 أغسطس الساعة 05:26 بتوقيت UTC، وتقول إنه لم يغادر أي SAND منذ الساعة 02:21 بتوقيت UTC في ذلك اليوم. كان أول إشعار عام لها، المنشور في 22 أغسطس، يصف الثغرة بأنها "محتواة بالكامل" ويضع الخسارة بأقل من 0.01% من إجمالي عرض SAND.

لم تثير الشركة أي آمال في إعادة فتح الجسر في هذه الأثناء. لأن العقود المتأثرة تسمح للتطبيق بإعادة تكوين نفسه بشكل دائم، فإن السيطرة على أدوار الوكيل هي "قابلة للنقاش إلى الأبد"، وأي محاولة لاستعادتها يمكن أن يتم إلغاؤها من قبل أي شخص مستعد لدفع رسوم الغاز.

وبحسب كلماتها، "لا توجد تكوين لهذه العقود يكون فيه إعادة فتح الجسر آمناً."

ظهرت الحادثة أولاً كخوف في السوق. أبلغت Cryptopolitan في 22 أغسطس، حيث أشارت شركة السلسلة على-chain Lookonchain إلى اشتباه في "هجوم سك لا نهائي" وقدرت أن أكثر من 500 مليون SAND قد تم إنشاؤها.

قيّدت البورصات الكورية الجنوبية Upbit وBithumb إيداعات وسحوبات SAND وحذرت المتداولين من التقلبات. كان SAND يتداول بالقرب من 0.042 دولار مع قيمة سوقية حوالي 123 مليون دولار، وفقاً لـ CoinMarketCap.