The Sandbox reembolsará a las víctimas del exploit del puente 1:1 después del robo de $697K en SAND
- The Sandbox compensará a cualquier persona que tuviera SAND puenteados legítimamente en Base o BNB Smart Chain con un reembolso 1:1 en SAND de Ethereum.
- La ventana de reclamación se abrirá en dos semanas y permanecerá abierta durante otras dos semanas más.
- El puente permanece cerrado permanentemente porque The Sandbox indica que los contratos comprometidos nunca podrán reabrirse de forma segura.
Los usuarios de The Sandbox afectados en el ataque del 21 de agosto recibieron buenas noticias temprano hoy cuando el proyecto se comprometió con un plan de compensación 1:1 que se pagará en la versión de Ethereum de SAND.
Según el anuncio de The Sandbox, abrirá una ventana de reclamación de compensación de dos semanas dentro de las dos semanas posteriores a su divulgación del 27 de agosto.
El plan de compensación solo cubre a los titulares de tokens que poseían probadamente SAND puenteado en Base y BNB Smart Chain (BSC) en el momento del exploit. Juntos, ese grupo de titulares perdió aproximadamente $697,000.
¿Cuándo recibirán compensación los titulares de SAND?
Según The Sandbox, los usuarios afectados tendrán que esperar al menos un mes para recibir realmente su compensación.
- El proceso de reclamación se abrirá dentro de las dos semanas siguientes al 27 de agosto.
- La ventana de reclamación estará abierta por otras dos semanas.
El reembolso se enviará como SAND basado en Ethereum, siendo elegibles solo los titulares de SAND puenteado en Base y BSC en el momento de la brecha.
Los titulares de la versión de Ethereum de SAND quedaron completamente exentos del incidente, con el suministro de la cadena aún en 3 mil millones de tokens. El SAND basado en Polygon tampoco tuvo exposición porque funciona a través de un puente separado.
"Los saldos en ambas cadenas están intactos y no se requiere acción del usuario", aclaró The Sandbox en su informe post-mortem.
The Sandbox culpa a los contratos de tokens
The Sandbox dijo que el defecto no provenía de ninguna clave que controla en su lado, señalando los contratos de tokens SAND en Base y BSC en su lugar.
Según el informe post-mortem, el contrato de tokens estaba configurado para funcionar también como la aplicación registrada del puente. El problema era que la capa de mensajería interpretaba cualquier entrada desde esa dirección como instrucciones directas del propio The Sandbox.
Esa configuración se suponía que debía ahorrar a los usuarios transacciones adicionales. En cambio, los atacantes explotaron la laguna para causar casi $1.49 millones en daño económico total en cuatro pasos.
- Primero, usaron la función de llamada para registrar su propia dirección como el administrador autorizado.
- Con derechos de administrador, reescribieron la configuración de verificación para que una sola aprobación desde su propia dirección fuera suficiente para confirmar un mensaje del puente.
- Luego enviaron mensajes de depósito falsos, que acuñaron SAND en Base y BSC contra depósitos de Ethereum que nunca ocurrieron.
- Finalmente, vendieron parte de los tokens falsos por ether y utilizaron la función de puente inverso para retirar SAND real del vault de Ethereum.
Las forenses sitúan la retirada directa del vault en 14,742,341.84 SAND. El atacante se llevó aproximadamente $987,000.
El puente permanece cerrado
The Sandbox cerró el puente a nivel de contrato en las tres cadenas el 22 de agosto a las 05:26 UTC, y dice que ningún SAND ha salido desde las 02:21 UTC de ese día. Su primer aviso público, publicado el 22 de agosto, calificó la vulnerabilidad como "totalmente contenida" y situó el golpe en menos del 0.01% del suministro total de SAND.
La empresa no alimentó ninguna esperanza de reabrir el puente en el interín. Debido a que los contratos afectados permiten permanentemente que la aplicación se reconfigure, el control sobre los roles de delegado es "contestado para siempre", y cualquier intento de reclamarlos podría ser deshecho por cualquiera dispuesto a pagar el gas.
En sus palabras, "No hay configuración de estos contratos en la que reabrir el puente sea segura."
El episodio surgió primero como un susto en el mercado. informó Cryptopolitan el 22 de agosto, cuando la firma on-chain Lookonchain detectó un supuesto "ataque de acuñación infinita" y estimó que se habían creado más de 500 millones de SAND.
Los exchanges surcoreanos Upbit y Bithumb restringieron los depósitos y retiros de SAND y advirtieron a los traders sobre la volatilidad. SAND se negociaba cerca de $0.042 con una capitalización de mercado de alrededor de $123 millones, según CoinMarketCap.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Quién es elegible para la compensación 1:1 de The Sandbox?
Cada billetera que tuviera SAND puenteados legítimamente en Base o BNB Smart Chain inmediatamente antes del incidente será reembolsada con la misma cantidad en SAND en Ethereum, según el informe post-mortem de The Sandbox.
¿Cuánto SAND fue robado y cuál era su valor?
El análisis forense reveló que el atacante retiró 14.742.341,84 SAND por un valor de aproximadamente 697.000 $, parte de un impacto económico total que The Sandbox estima en unos 1,49 millones de dólares.
¿Se ven afectados los titulares de SAND en Ethereum y Polygon?
No. El SAND de Ethereum no fue tocado y su oferta sigue siendo de 3 mil millones de tokens, mientras que Polygon utiliza un puente separado sin exposición a los contratos comprometidos, por lo que los saldos en ambas cadenas están intactos y no se requiere ninguna acción.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
