The Sandbox вернет жертвам эксплуатации моста 1:1 после кражи SAND на сумму 697 тыс. долларов
- The Sandbox компенсирует всем, кто легитимно перевёл SAND на Base или BNB Smart Chain, в размере 1:1 с использованием Ethereum SAND.
- Окно для подачи заявок откроется в течение двух недель и будет доступно ещё две недели.
- Мост остаётся закрытым навсегда, так как The Sandbox заявляет, что скомпрометированные контракты никогда не могут быть безопасно открыты снова.
Пользователи The Sandbox, пострадавшие в результате атаки 21 августа, получили хорошие новости сегодня утром, когда проект обязался выплатить компенсацию в соотношении 1:1 в виде версии SAND в сети Ethereum.
Согласно объявлению The Sandbox, они откроют двухнедельное окно для подачи заявок на компенсацию в течение двух недель после раскрытия информации 27 августа.
План компенсации охватывает только держателей токенов, которые доказуемо хранили мостовой SAND в сетях Base и BNB Smart Chain (BSC) на момент эксплуатации уязвимости. Вместе эта группа держателей потеряла примерно 697 000 долларов.
Когда держатели SAND получат компенсацию?
Согласно The Sandbox, пострадавшим пользователям придется ждать не менее одного месяца, чтобы фактически получить компенсацию.
- Процесс подачи заявок откроется в течение двух недель после 27 августа 27.
- Окно для подачи заявок будет открыто еще две недели.
Возврат средств будет отправлен в виде SAND на базе Ethereum, при этом только держатели мостового SAND в сетях Base и BSC на момент взлома будут иметь право на компенсацию.
Держатели версии SAND в сети Ethereum были полностью защищены от инцидента, при этом предложение токенов в сети все еще составляет 3 миллиарда. SAND на базе Polygon также не подвергся риску, поскольку он работает через отдельный мост.
«Балансы на обеих цепочках целы, и никаких действий со стороны пользователей не требуется», — уточнил The Sandbox в своем пост-мортеме.
The Sandbox возлагает вину за эксплуатацию на контракты токенов
The Sandbox заявил, что уязвимость не исходит от каких-либо ключей, которые он контролирует на своей стороне, указывая вместо этого на контракты токенов SAND в сетях Base и BSC.
Согласно пост-мортему, контракт токена был настроен так, чтобы дублировать зарегистрированное приложение моста. Проблема заключалась в том, что слой сообщений интерпретировал любой ввод с этого направления как прямые инструкции от самого The Sandbox.
Эта настройка должна была избавить пользователей от дополнительных транзакций. Вместо этого злоумышленники использовали лазейку, чтобы нанести общий экономический ущерб почти на 1,49 миллиона долларов в четыре этапа.
- Сначала они использовали функцию вызова, чтобы зарегистрировать свой адрес в качестве авторизованного администратора.
- Получив права администратора, они переписали настройки проверки так, что одного одобрения с их адреса было достаточно для подтверждения сообщения моста.
- Затем они отправили поддельные сообщения о депозитах, которые отчеканили SAND в сетях Base и BSC против депозитов в Ethereum, которые никогда не происходили.
- Наконец, они продали часть поддельных токенов за эфир и использовали функцию обратного моста, чтобы вывести реальный SAND из хранилища Ethereum.
Криминалистический анализ показал, что прямой вывод из хранилища составил 14 742 341,84 SAND. Злоумышленник ушел с примерно 987 000 долларов.
Мост остается закрытым
The Sandbox закрыл мост на уровне контракта во всех трех сетях 22 августа в 05:26 UTC и заявляет, что с тех пор, с 02:21 UTC в тот же день, SAND не выводился. Его первое публичное уведомление, опубликованное 22 августа, назвало уязвимость «полностью локализованной» и оценило ущерб менее чем в 0,01% от общего предложения SAND.
Компания не разжигала надежд на открытие моста в промежуточный период. Поскольку затронутые контракты постоянно позволяют приложению перенастраивать себя, контроль над ролями делегатов «всегда оспариваем», и любая попытка вернуть их может быть отменена кем угодно, готовым оплатить газ.
По их словам, «Не существует такой конфигурации этих контрактов, при которой открытие моста было бы безопасным».
Эпизод впервые появился как рыночный страх. сообщил Cryptopolitan 22 августа аналитическая компания Lookonchain выявила подозрительную атаку типа «бесконечная чеканка» и оценила объем созданных токенов SAND более чем в 500 миллионов.
Южнокорейские биржи Upbit и Bithumb ограничили депозиты и выводы SAND, предупредив трейдеров о высокой волатильности. SAND торговался вблизи отметки $0.042 с рыночной капитализацией около $123 млн, по данным CoinMarketCap.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Кто имеет право на компенсацию 1:1 от The Sandbox?
Каждый кошелёк, который держал легитимно переведённый SAND на Base или BNB Smart Chain непосредственно перед инцидентом, получит обратно ту же сумму в SAND на Ethereum, согласно пост-мортему от The Sandbox.
Сколько SAND было украдено и какова его стоимость?
Результаты криминалистического анализа показали, что злоумышленник вывел 14 742 341,84 SAND стоимостью около $697 000, что является частью общего экономического ущерба, который The Sandbox оценивает примерно в $1,49 млн.
Затронуты ли держатели SAND на Ethereum и Polygon?
Нет. Ethereum SAND не был затронут, и его предложение остаётся на уровне 3 млрд токенов, тогда как Polygon использует отдельный мост без доступа к скомпрометированным контрактам, поэтому балансы на обеих цепочках сохранены, и никаких действий не требуется.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
