サンドボックス社は、69万7000ドル相当のSAND盗難事件を受け、橋梁悪用被害者に対し1対1で賠償を行う。

8月21日の攻撃で被害を受けたSandboxのユーザーは、本日早朝、プロジェクト側が Ethereum 版SANDで1対1の補償プランを実施することを決定したという朗報を受け取った。.

The Sandboxの発表によると、同社は8月27日の発表から2週間以内に、2週間の補償請求期間を設ける予定だという。.

補償プランの対象となるのは、攻撃発生時にBaseと BNB スマートチェーン（BSC）上でブリッジされたSANDトークンを保有していたことが証明できるトークン保有者のみです。このグループの保有者は合計で約69万7000ドルの損失を被りました。.

SAND保有者はいつ補償を受け取れるのでしょうか？

The Sandboxによると、影響を受けたユーザーは実際に補償金を受け取るまで少なくとも1ヶ月待たなければならないとのことだ。.

• 請求手続きは8月27日から2週間以内に開始されます。.
• 請求受付期間はさらに2週間延長されます。.

払い戻しは EthereumベースのSANDで行われ、情報漏洩発生時点でBaseおよびBSC上でブリッジされたSANDを保有していた方のみが対象となります。.

Ethereum 版SANDの保有者は今回の事態のdent全く受けず、チェーンの供給量は依然として30億トークンを維持している。ポリゴンベースのSANDも、別のブリッジを経由しているため、一切影響を受けていない。.

「両チェーンの残高は無傷であり、ユーザーによる操作は必要ありません」と、The Sandboxは 事後分析。

Sandboxは、トークンtracに悪用があったと非難している。

Sandboxは、この欠陥は自社側で管理している鍵に起因するものではなく、BaseとBSC上のSANDトークンtracに起因するものだと指摘した。.

事後分析によると、トークンコントラクトtracブリッジの登録済みアプリケーションとしても機能するように設定されていた。 問題 は、メッセージングレイヤーがその方向からの入力をサンドボックス自体からの直接的な指示として解釈していたことだった。

この仕組みは、ユーザーの余分な取引を省くためのものだった。しかし、攻撃者はこの抜け穴を悪用し、4段階の攻撃で合計約149万ドルの経済的損害を引き起こした。.

• 彼らはまず通話機能を利用して、自分たちの住所を正規管理者として登録した。.
• 管理者権限を使って、彼らは認証設定を書き換え、自分たちのメールアドレスからの承認が一度あればブリッジメッセージが承認されるようにした。.
• その後、彼らは偽の入金メッセージを送信し、実際には行われていない Ethereum 入金に対して、BaseとBSC上でSANDを鋳造した。.
• 最後に、彼らは偽のトークンの一部をイーサリアムで売却し、リバースブリッジ機能を使って Ethereum 金庫から本物のSANDを引き出した。.

鑑識の結果、金庫からの直接引き出し額は14,742,341.84 SANDと判明した。犯人は約987,000ドルを持ち去った。.

橋は閉鎖されたままです

サンドボックスは 契約レベルでのtrac、同日午前2時21分（UTC）以降、SANDは一切流出していないと述べている。8月22日に掲載された最初の公式通知では、この脆弱性は「完全に封じ込められた」とし、影響を受けたSANDの総供給量は0.01%未満であるとしている。 8月22日午前5時26分（UTC）に3つのチェーンすべてにわたるブリッジを閉鎖し

同社は、当面の間、橋の再開通を期待させるような発言は一切しなかった。影響を受けたtracでは、アプリケーションが恒久的に再構成されることが認められているため、代理人の役割に対する制御は「永久に争われる可能性があり」、ガソリン代を支払う意思のある者であれば誰でも、それらを取り戻そうとする試みを覆すことができる。.

同文書によれば、「これらのtracのいかなる構成においても、橋の再開通が安全となるようなものは存在しない」。

この一件は当初、市場の不安として表面化した。Cryptopolitan Cryptopolitan 指摘 し、5億枚以上のSANDが生成されたと推定したと報じた。

韓国の取引所UpbitとBithumbは、SANDの入出金を制限し、トレーダーに対し価格変動への注意を警告した。CoinMarketCap SANDは0.042ドル付近で取引されており 、時価総額は約1億2300万ドルだった。