The Sandbox 在 69.7 万美元 SAND 被盗后，将以 1:1 比例赔偿桥接漏洞受害者

在 8 月 21 日攻击中受影响的 The Sandbox 用户今天早些时候收到了好消息，该项目承诺以以太坊版本的 SAND 进行 1:1 赔偿。

根据 The Sandbox 的公告，它将在 8 月 27 日披露后的两周内开放为期两周的赔偿索赔窗口。

赔偿计划仅涵盖在漏洞发生时证明持有 Base 和 BNB 智能链（BSC）上桥接 SAND 的代币持有者。该群体总共损失了约 69.7 万美元。

SAND 持有者何时收到赔偿？

根据 The Sandbox 的说法，受影响的用户必须等待至少一个月才能实际收到赔偿。

• 索赔流程将在 8 月 27 日后的两周内开放。
• 索赔窗口将再开放两周。

退款将以以太坊 SAND 的形式发送，只有漏洞发生时持有 Base 和 BSC 上桥接 SAND 的持有者才有资格获得。

以太坊版本的 SAND 持有者在事件中完全幸免，该链的供应量仍为 30 亿枚。Polygon 上的 SAND 也没有任何风险，因为它通过单独的桥接运行。

“两个链上的余额完好无损，无需用户采取任何行动，”The Sandbox 在其 事后报告中.

The Sandbox 将漏洞归咎于代币合约

The Sandbox 表示，漏洞并非来自其控制的任何密钥，而是指向 Base 和 BSC 上的 SAND 代币合约。

根据事后报告，代币合约被设置为同时充当桥接的注册应用程序。 问题 在于消息层将来自该方向的任何输入解释为来自 The Sandbox 本身的直接指令。

这种设置本意是让用户免于额外的交易。相反，攻击者利用这一漏洞分四步造成了近 149 万美元的总经济损失。

• 他们首先使用调用功能将自己的地址注册为授权管理员。
• 拥有管理员权限后，他们重写了验证设置，使得仅来自他们自己地址的一次批准就足以确认桥接消息。
• 然后，他们提交了虚假的存款消息，这些消息在 Base 和 BSC 上铸造了 SAND，而以太坊上的存款从未发生。
• 最后，他们将部分假代币兑换成以太币，并使用反向桥接功能从以太坊金库中提取真实的 SAND。

法医分析显示，直接金库提款为 14,742,341.84 枚 SAND。攻击者带走了约 98.7 万美元。

桥接保持关闭

The Sandbox 关闭了桥接 在 8 月 22 日 UTC 05:26 在合约层面关闭了所有三个链上的桥接，并表示自当天 UTC 02:21 以来没有 SAND 离开。其第一份公开通知发布于 8 月 22 日，称漏洞“已完全控制”，损失不到总 SAND 供应量的 0.01%。

该公司并未激起重新开放桥接的希望。由于受影响的合约永久允许应用程序重新配置自身，委托角色的控制权“永远存在争议”，任何试图收回它们的尝试都可能被任何愿意支付 Gas 费的人推翻。

用他们的话说，“没有任何合约配置可以使重新开放桥接变得安全。”

这一事件最初作为市场恐慌出现。 Cryptopolitan 报道 8 月 22 日，链上公司 Lookonchain 标记了疑似“无限铸造攻击”，并估计创建了超过 5 亿枚 SAND。

韩国交易所 Upbit 和 Bithumb 限制了 SAND 的存款和取款，并警告交易者注意波动性。 SAND 交易价格接近 $0.042 ，根据 CoinMarketCap 的数据，市值约为 123 百万美元。