The Sandbox remboursera les victimes de l'exploitation du pont 1:1 après le vol de 697 K$ de SAND
- The Sandbox compensera toute personne détenant légalement du SAND ponté sur Base ou BNB Smart Chain à hauteur de 1:1 en SAND Ethereum.
- La fenêtre de réclamation s'ouvrira dans un délai de deux semaines et restera ouverte pendant deux semaines supplémentaires.
- Le pont reste définitivement fermé car The Sandbox indique que les contrats compromis ne pourront jamais être rouverts en toute sécurité.
Les utilisateurs de The Sandbox affectés par l'attaque du 21 août ont reçu de bonnes nouvelles tôt aujourd'hui lorsque le projet s'est engagé à un plan de compensation 1:1 à payer en version Ethereum de SAND.
Selon l'annonce de The Sandbox, il ouvrira une fenêtre de réclamation de compensation de deux semaines dans les deux semaines suivant sa divulgation du 27 août.
Le plan de compensation ne couvre que les détenteurs de tokens qui détenaient prouvablement du SAND ponté sur Base et BNB Smart Chain (BSC) au moment de l'exploitation. Ensemble, ce groupe de détenteurs a perdu environ 697 000 $.
Quand les détenteurs de SAND recevront-ils une compensation ?
Selon The Sandbox, les utilisateurs affectés devront attendre au moins un mois pour recevoir réellement leur compensation.
- Le processus de réclamation ouvrira dans les deux semaines suivant le 27 août.
- La fenêtre de réclamation restera ouverte pendant deux autres semaines.
Le remboursement sera envoyé sous forme de SAND basé sur Ethereum, seuls les détenteurs de SAND ponté sur Base et BSC au moment de la brèche étant éligibles.
Les détenteurs de la version Ethereum de SAND ont été complètement épargnés dans l'incident, l'offre de la chaîne restant à 3 milliards de tokens. Le SAND basé sur Polygon n'avait également aucune exposition car il fonctionne via un pont séparé.
« Les soldes sur les deux chaînes sont intacts et aucune action utilisateur n'est requise », a clarifié The Sandbox dans son post-mortem.
The Sandbox blame les contrats de tokens
The Sandbox a déclaré que la faille ne provenait d'aucune clé qu'elle contrôle de son côté, pointant du doigt les contrats de tokens SAND sur Base et BSC à la place.
Selon le post-mortem, le contrat de token était configuré pour servir également d'application enregistrée du pont. Le problème était que la couche de messagerie interprétait toute entrée provenant de cette direction comme des instructions directes de The Sandbox elle-même.
Cette configuration était censée épargner aux utilisateurs des transactions supplémentaires. À la place, les attaquants ont exploité la faille pour causer près de 1,49 million de dollars de dommages économiques totaux en quatre étapes.
- Ils ont d'abord utilisé la fonction d'appel pour enregistrer leur propre adresse en tant qu'administrateur autorisé.
- Avec les droits d'administrateur, ils ont réécrit les paramètres de vérification de sorte qu'une seule approbation de leur propre adresse suffisait pour confirmer un message de pont.
- Ils ont ensuite soumis de faux messages de dépôt, qui ont minté du SAND sur Base et BSC contre des dépôts Ethereum qui ne se sont jamais produits.
- Enfin, ils ont vendu une partie des faux tokens en ether et ont utilisé la fonction de pont inverse pour retirer du SAND réel du coffre-fort Ethereum.
Les analyses forensiques situent le retrait direct du coffre-fort à 14 742 341,84 SAND. L'attaquant est reparti avec environ 987 000 $.
Le pont reste fermé
The Sandbox a fermé le pont au niveau du contrat sur les trois chaînes le 22 août à 05:26 UTC, et dit qu'aucun SAND ne s'est échappé depuis 02:21 UTC ce jour-là. Son premier avis public, publié le 22 août, a qualifié la vulnérabilité de « entièrement contenue » et a estimé le coup à moins de 0,01 % de l'offre totale de SAND.
L'entreprise n'a pas alimenté d'espoirs de rouvrir le pont en attendant. Parce que les contrats affectés permettent de manière permanente à l'application de se reconfigurer, le contrôle sur les rôles de délégué est « contestable pour toujours », et toute tentative de les récupérer pourrait être annulée par quiconque est prêt à payer le gaz.
Selon ses propres mots, « Il n'existe aucune configuration de ces contrats dans laquelle la réouverture du pont est sûre. »
L'épisode a d'abord émergé comme une peur du marché. Cryptopolitan l'a rapporté le 22 août que la firme on-chain Lookonchain a signalé une suspicion d'« attaque de mintage infini » et a estimé que plus de 500 millions de SAND avaient été créés.
Les échanges sud-coréens Upbit et Bithumb ont restreint les dépôts et retraits de SAND et ont averti les traders de la volatilité. SAND était négocié près de 0.042$ avec une capitalisation boursière d'environ 123 millions de dollars, selon CoinMarketCap.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qui est éligible à la compensation 1:1 de The Sandbox ?
Chaque portefeuille ayant détenu légalement du SAND ponté sur Base ou BNB Smart Chain immédiatement avant l'incident sera remboursé du même montant en SAND sur Ethereum, selon l'analyse post-mortem de The Sandbox.
Combien de SAND ont été volés et quelle était leur valeur ?
L'analyse forensique a révélé que l'attaquant a retiré 14 742 341,84 SAND d'une valeur d'environ 697 000 $, faisant partie d'un impact économique total estimé par The Sandbox à environ 1,49 million de dollars.
Les détenteurs de SAND sur Ethereum et Polygon sont-ils affectés ?
Non. Le SAND Ethereum n'a pas été touché et son offre reste de 3 milliards de jetons, tandis que Polygon utilise un pont distinct sans exposition aux contrats compromis ; les soldes des deux chaînes sont donc intacts et aucune action n'est requise.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
