The Sandbox rimborserà le vittime dell'exploit del bridge 1:1 dopo il furto di 697K SAND
- The Sandbox compenserà chiunque abbia detenuto SAND pontati legittimamente su Base o BNB Smart Chain con un rimborso 1:1 in SAND su Ethereum.
- La finestra per la richiesta si apre entro due settimane e rimane aperta per altre due settimane.
- Il bridge rimane permanentemente chiuso perché, secondo The Sandbox, i contratti compromessi non potranno mai essere riaperti in sicurezza.
Gli utenti di The Sandbox colpiti nell'attacco del 21 agosto hanno ricevuto buone notizie all'inizio di oggi quando il progetto si è impegnato in un piano di compensazione 1:1 da pagare nella versione Ethereum di SAND.
Secondo l'annuncio di The Sandbox, aprirà una finestra di richiesta di compensazione di due settimane entro due giorni dal suo disclosure del 27 agosto.
Il piano di compensazione copre solo i holder di token che hanno detenuto provatoriamente SAND bridgeato su Base e BNB Smart Chain (BSC) al momento dell'exploit. Insieme, questo gruppo di holder ha perso circa 697.000 dollari.
Quando i holder di SAND riceveranno la compensazione?
Secondo The Sandbox, gli utenti colpiti dovranno aspettare almeno un mese per ricevere effettivamente la loro compensazione.
- Il processo di richiesta si aprirà entro due settimane dal 27 agosto 27.
- La finestra di richiesta sarà aperta per altre due settimane.
Il rimborso sarà inviato come SAND basato su Ethereum, con solo i holder di SAND bridgeato su Base e BSC al momento della violazione eleggibili.
I holder della versione Ethereum di SAND sono stati completamente risparmiati nell'incidente, con l'offerta della catena ancora a 3 miliardi di token. Anche il SAND su Polygon non ha avuto alcuna esposizione perché funziona attraverso un bridge separato.
“I saldi su entrambe le catene sono integri e non è richiesta alcuna azione da parte dell'utente”, ha chiarito The Sandbox nel suo post-mortem.
The Sandbox attribuisce l'exploit ai contratti dei token
The Sandbox ha detto che la falla non proveniva da alcuna chiave che controlla dalla sua parte, puntando invece ai contratti dei token SAND su Base e BSC.
Secondo il post-mortem, il contratto del token era impostato per funzionare anche come applicazione registrata del bridge. Il problema era che lo strato di messaggistica interpretava qualsiasi input da quella direzione come istruzioni dirette dello stesso The Sandbox.
Questa configurazione era supposed di risparmiare agli utenti transazioni extra. Invece, gli attaccanti hanno sfruttato la falla per causare danni economici totali di quasi 1,49 milioni di dollari in quattro passaggi.
- Hanno prima usato la funzione di chiamata per registrare il loro indirizzo come amministratore autorizzato.
- Con i diritti di amministratore, hanno riscritto le impostazioni di verifica in modo che un singolo approvazione dal loro indirizzo fosse sufficiente per confermare un messaggio del bridge.
- Hanno poi inviato messaggi di deposito falsi, che hanno coniato SAND su Base e BSC contro depositi Ethereum che non sono mai avvenuti.
- Infine, hanno venduto alcuni dei token falsi per ether e hanno usato la funzione di reverse-bridge per prelevare vero SAND dal vault Ethereum.
Le forensics collocano il prelievo diretto dal vault a 14.742.341,84 SAND. L'attaccante se n'è andato con circa 987.000 dollari.
Il bridge rimane chiuso
The Sandbox ha chiuso il bridge a livello di contratto su tutte e tre le catene il 22 agosto alle 05:26 UTC, e afferma che nessun SAND è uscito da allora alle 02:21 UTC di quel giorno. Il suo primo avviso pubblico, pubblicato il 22 agosto, ha definito la vulnerabilità “completamente contenuta” e ha stimato il danno sotto lo 0,01% dell'offerta totale di SAND.
L'azienda non ha nutrito speranze di riaprire il bridge nell'intervallo. Poiché i contratti colpiti permettono permanentemente all'applicazione di riconfigurarsi, il controllo sui ruoli delegate è “contestabile per sempre” e qualsiasi tentativo di recuperarli potrebbe essere annullato da chiunque sia disposto a pagare il gas.
Nelle sue parole, “Non esiste alcuna configurazione di questi contratti in cui la riapertura del bridge sia sicura.”
L'episodio è emerso per la prima volta come una paura di mercato. riportato da Cryptopolitan il 22 agosto che la società on-chain Lookonchain ha segnalato un sospetto “attacco di mint infinito” e ha stimato che più di 500 milioni di SAND fossero stati creati.
Gli scambi sudcoreani Upbit e Bithumb hanno limitato i depositi e i prelievi di SAND e hanno avvisato i trader di volatilità. SAND era scambiato vicino a $0.042 con una capitalizzazione di mercato di circa 123 milioni di dollari, secondo CoinMarketCap.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Chi è eleggibile per la 1:1 di compenso di The Sandbox?
Ogni portafoglio che deteneva SAND pontati legittimamente su Base o BNB Smart Chain immediatamente prima dell'incidente verrà rimborsato con la stessa quantità di SAND su Ethereum, secondo l'analisi post-mortem di The Sandbox.
Quanti SAND sono stati rubati e qual era il loro valore?
L'analisi forense ha rilevato che l'attaccante ha prelevato 14.742.341,84 SAND, per un valore di circa 697.000 dollari, parte di un impatto economico totale che The Sandbox stima in circa 1,49 milioni di dollari.
I possessori di SAND su Ethereum e Polygon sono interessati?
No. I SAND su Ethereum non sono stati toccati e la loro offerta resta a 3 miliardi di token, mentre Polygon utilizza un bridge separato senza esposizione ai contratti compromessi; pertanto, i saldi su entrambe le catene sono integri e non è necessaria alcuna azione.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
