The Sandbox zahlt Bridge-Exploit-Opfern 1:1 nach Diebstahl von 697.000 USD SAND zurück
- The Sandbox wird jeden entschädigen, der legitim auf Base oder BNB Smart Chain gebrochtes SAND hielt, mit Ethereum-SAND im Verhältnis 1:1.
- Das Antragsfenster öffnet sich innerhalb von zwei Wochen und bleibt weitere zwei Wochen geöffnet.
- Die Bridge bleibt dauerhaft geschlossen, da The Sandbox angibt, dass die kompromittierten Verträge niemals sicher wieder geöffnet werden können.
Die vom Angriff am 21. August betroffenen The Sandbox-Benutzer erhielten heute früh positive Nachrichten, als das Projekt einen 1:1-Kompensationsplan bekannt gab, der in der Ethereum-Version von SAND ausgezahlt wird.
Laut der Ankündigung von The Sandbox wird es ein zweiwöchiges Kompensations-Antragsfenster innerhalb von zwei Wochen nach seiner Offenlegung am 27. August eröffnen.
Der Kompensationsplan deckt nur Token-Inhaber ab, die nachweislich zum Zeitpunkt des Exploits bridgedes SAND auf Base und BNB Smart Chain (BSC) hielten. Zusammen verloren diese Inhaber etwa 697.000 USD.
Wann erhalten SAND-Inhaber ihre Kompensation?
Laut The Sandbox müssen die betroffenen Benutzer mindestens einen Monat warten, um ihre Kompensation tatsächlich zu erhalten.
- Der Antragsprozess wird innerhalb von zwei Wochen nach dem 27. August 27 eröffnet.
- Das Antragsfenster wird für weitere zwei Wochen geöffnet sein.
Die Rückerstattung wird als Ethereum-basiertes SAND gesendet, wobei nur Inhaber von bridgedem SAND auf Base und BSC zum Zeitpunkt der Sicherheitslücke berechtigt sind.
Inhaber der Ethereum-Version von SAND blieben bei dem Vorfall vollständig verschont, wobei die Versorgung der Chain immer noch bei 3 Milliarden Token liegt. Polygon-basiertes SAND hatte ebenfalls keine Exposition, da es über eine separate Bridge läuft.
„Die Guthaben auf beiden Chains sind intakt und es ist keine Benutzeraktion erforderlich“, klärte The Sandbox in seinem Post-Mortem.
The Sandbox macht Token-Verträge für den Exploit verantwortlich
The Sandbox sagte, der Fehler stamme nicht von Schlüsseln, die es auf seiner Seite kontrolliert, und wies stattdessen auf die SAND-Token-Verträge auf Base und BSC hin.
Laut dem Post-Mortem war der Token-Vertrag so eingerichtet, dass er auch als registrierte Anwendung der Bridge fungierte. Das Problem bestand darin, dass die Messaging-Schicht jede Eingabe aus dieser Richtung als direkte Anweisungen von The Sandbox selbst interpretierte.
Diese Einrichtung sollte den Benutzern zusätzliche Transaktionen ersparen. Stattdessen nutzten Angreifer die Lücke aus, um in vier Schritten einen Gesamtschaden von fast 1,49 Millionen USD zu verursachen.
- Sie nutzten zunächst die Call-Funktion, um ihre eigene Adresse als autorisierten Administrator zu registrieren.
- Mit Admin-Rechten schrieben sie die Verifikationseinstellungen so um, dass eine einzige Genehmigung von ihrer eigenen Adresse ausreichte, um eine Bridge-Nachricht zu bestätigen.
- Dann reichten sie gefälschte Einzahlungsnachrichten ein, die SAND auf Base und BSC gegen Einzahlungen auf Ethereum münzten, die nie stattgefunden hatten.
- Schließlich verkauften sie einen Teil der gefälschten Token für Ether und nutzten die Reverse-Bridge-Funktion, um echtes SAND aus dem Ethereum-Tresor abzuheben.
Die Forensik beziffert die direkte Tresor-Abhebung auf 14.742.341,84 SAND. Der Angreifer ging mit etwa 987.000 USD davon.
Die Bridge bleibt geschlossen
The Sandbox schloss die Bridge auf Vertragsebene über alle drei Chains hinweg am 22. August um 05:26 UTC und sagt, dass seit 02:21 UTC an diesem Tag kein SAND abgeflossen ist. Seine erste öffentliche Mitteilung, veröffentlicht am 22. August, bezeichnete die Verwundbarkeit als „vollständig eingedämmt“ und bezifferte den Schaden auf unter 0,01 % der gesamten SAND-Versorgung.
Das Unternehmen schürte keine Hoffnungen auf eine Wiedereröffnung der Bridge in der Zwischenzeit. Da die betroffenen Verträge die Anwendung dauerhaft erlauben, sich selbst neu zu konfigurieren, ist die Kontrolle über die Delegiertenrollen „für immer anfechtbar“, und jeder Versuch, sie zurückzugewinnen, könnte von jedem aufgehoben werden, der bereit ist, Gas zu bezahlen.
In seinen Worten: „Es gibt keine Konfiguration dieser Verträge, bei der die Wiedereröffnung der Bridge sicher ist.“
Die Episode tauchte zunächst als Markt-Schock auf. Cryptopolitan berichtete am 22. August, als die On-Chain-Firma Lookonchain einen vermuteten „unendlichen Mint-Angriff“ markierte und schätzte, dass mehr als 500 Millionen SAND erstellt wurden.
Südkoreanische Börsen wie Upbit und Bithumb beschränkten Ein- und Auszahlungen von SAND und warnten Händler vor Volatilität. SAND handelte nahe bei 0.042 mit einer Marktkapitalisierung von rund 123 Millionen USD, laut CoinMarketCap.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Wer ist für 1:1 von The Sandbox berechtigt?
Jede Wallet, die unmittelbar vor dem Vorfall legitim auf Base oder BNB Smart Chain gebrochenes SAND hielt, erhält gemäß dem Post-Mortem von The Sandbox denselben Betrag in SAND auf Ethereum zurückerstattet.
Wie viel SAND wurde gestohlen und wie hoch war der Wert?
Eine forensische Analyse ergab, dass der Angreifer 14.742.341,84 SAND im Wert von etwa 697.000 USD abgezogen hat; dies ist Teil einer gesamten wirtschaftlichen Auswirkung, die The Sandbox auf rund 1,49 Millionen USD schätzt.
Sind SAND-Halter auf Ethereum und Polygon betroffen?
Nein. Ethereum-SAND wurde nicht berührt, und sein Angebot bleibt bei 3 Milliarden Token, während Polygon eine separate Bridge nutzt, die keinen Zugriff auf die kompromittierten Verträge hat. Daher sind die Guthaben auf beiden Chains intakt, und es sind keine Maßnahmen erforderlich.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
