The Sandbox reembolsará vítimas da exploração da ponte 1:1 após roubo de US$ 697K em SAND
- The Sandbox irá compensar qualquer pessoa que detivesse SAND legitimamente transferido via ponte na Base ou BNB Smart Chain com 1:1 em Ethereum SAND.
- A janela de reivindicação abre dentro de duas semanas e permanece aberta por mais duas semanas.
- A ponte permanece permanentemente fechada porque The Sandbox afirma que os contratos comprometidos nunca poderão ser reabertos com segurança.
Os usuários do The Sandbox afetados no ataque de 21 de agosto receberam boas notícias no início de hoje quando o projeto se comprometeu com um plano de compensação 1:1 a ser pago na versão Ethereum do SAND.
De acordo com o anúncio do The Sandbox, eles abrirão uma janela de reivindicação de compensação de duas semanas dentro de duas semanas de sua divulgação em 27 de agosto.
O plano de compensação cobre apenas os detentores de tokens que comprovadamente possuíam SAND pontilhado na Base e na BNB Smart Chain (BSC) no momento da exploração. Juntos, esse grupo de detentores perdeu cerca de US$ 697.000.
Quando os detentores de SAND receberão a compensação?
De acordo com o The Sandbox, os usuários afetados terão que esperar pelo menos um mês para realmente receber sua compensação.
- O processo de reivindicação será aberto dentro de duas semanas após o dia 27 de agosto.
- A janela de reivindicação permanecerá aberta por mais duas semanas.
O reembolso será enviado como SAND baseado em Ethereum, com apenas os detentores de SAND pontilhado na Base e na BSC no momento da violação elegíveis.
Os detentores da versão Ethereum do SAND foram completamente poupados no incidente, com o fornecimento da cadeia ainda em 3 bilhões de tokens. O SAND baseado em Polygon também não teve nenhuma exposição porque opera por meio de uma ponte separada.
“Os saldos em ambas as cadeias estão intactos e nenhuma ação do usuário é necessária”, esclareceu o The Sandbox em seu post-mortem.
The Sandbox culpa contratos de tokens
O The Sandbox disse que a falha não veio de nenhuma chave que controla de seu lado, apontando para os contratos de tokens SAND na Base e na BSC em vez disso.
De acordo com o post-mortem, o contrato do token foi configurado para funcionar também como o aplicativo registrado da ponte. O problema era que a camada de mensagens interpretava qualquer entrada dessa direção como instruções diretas do próprio The Sandbox.
Essa configuração deveria poupar os usuários de transações extras. Em vez disso, os atacantes exploraram a brecha para causar quase US$ 1,49 milhão em dano econômico total em quatro etapas.
- Eles primeiro usaram o recurso de chamada para registrar seu próprio endereço como o administrador autorizado.
- Com direitos de administrador, eles reescreveram as configurações de verificação para que uma única aprovação de seu próprio endereço fosse suficiente para confirmar uma mensagem da ponte.
- Eles então enviaram mensagens de depósito falsas, que cunharam SAND na Base e na BSC contra depósitos em Ethereum que nunca aconteceram.
- Finalmente, eles venderam alguns dos tokens falsos por ether e usaram a função de reverse-bridge para retirar SAND real do cofre do Ethereum.
A análise forense colocou a retirada direta do cofre em 14.742.341,84 SAND. O atacante saiu com cerca de US$ 987.000.
A ponte permanece fechada
O The Sandbox fechou a ponte no nível do contrato em todas as três cadeias em 22 de agosto às 05:26 UTC, e diz que nenhum SAND saiu desde 02:21 UTC daquele dia. Seu primeiro aviso público, postado em 22 de agosto, chamou a vulnerabilidade de “totalmente contida” e colocou o dano em menos de 0,01% do fornecimento total de SAND.
A empresa não alimentou esperanças de reabrir a ponte no interim. Como os contratos afetados permitem permanentemente que o aplicativo se reconfigure, o controle sobre os papéis de delegado é “contestável para sempre”, e qualquer tentativa de recuperá-los pode ser desfeita por qualquer pessoa disposta a pagar o gas.
Em suas palavras, “Não há configuração desses contratos na qual reabrir a ponte seja segura.”
O episódio surgiu primeiro como um susto no mercado. reportou o Cryptopolitan em 22 de agosto, quando a empresa on-chain Lookonchain sinalizou um suposto “ataque de mint infinito” e estimou que mais de 500 milhões de SAND haviam sido criados.
As exchanges sul-coreanas Upbit e Bithumb restringiram depósitos e retiradas de SAND e alertaram os traders sobre volatilidade. O SAND estava sendo negociado perto de US$ 0.042 com uma capitalização de mercado em torno de US$ 123 milhões, de acordo com a CoinMarketCap.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
Quem é elegível para a 1:1 de compensação do The Sandbox?
Todas as carteiras que detinham SAND legitimamente transferido via ponte na Base ou BNB Smart Chain imediatamente antes do incidente serão reembolsadas com o mesmo montante em SAND no Ethereum, conforme o post-mortem do The Sandbox.
Quanto SAND foi roubado e qual era o seu valor?
Análise forense revelou que o atacante retirou 14.742.341,84 SAND, valendo cerca de $697.000, parte de um impacto econômico total que o The Sandbox estima em aproximadamente $1,49 milhão.
Os titulares de SAND no Ethereum e Polygon foram afetados?
Não. O SAND no Ethereum permaneceu intacto e sua oferta continua em 3 bilhões de tokens, enquanto o Polygon utiliza uma ponte separada sem exposição aos contratos comprometidos, portanto os saldos em ambas as cadeias estão seguros e nenhuma ação é necessária.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
