Ang The Sandbox ay nakaranas ng kahinaan sa cross-chain bridge na nagpahintulot sa isang umaatake na mag-mint ng SAND na walang katumbas (unbacked) sa Base at BNB Smart Chain, kung saan tinatayang mas mababa sa 0.01% ng 3 bilyong supply ng token ang direktang epekto. Sinabi ng The Sandbox na ganap nitong naisalba ang kahinaan na nakakaapekto sa SAND bridge nito sa Base at BNB Smart Chain, idinagdag na walang user wallet ang nakompromiso at nanatiling ligtas ang SAND na hawak sa Ethereum at Polygon. Sa isang pahayag noong Agosto 22, sinabi ng proyekto ng metaverse na nilikha ng umaatake ang mga token sa Base at BNB Smart Chain nang walang SAND na kinakailangan upang suportahan ang mga ito sa Ethereum. Hindi pinagana ng koponan ang paggamit ng tulay papunta at mula sa dalawang network, inilalayo ang mga apektadong token at pinipigilan ang mga ito na matubos sa pamamagitan ng opisyal na tulay. "Lahat ng bridged SAND funds ay suportado ng SAND na nakakandado sa Ethereum, na nananatiling ganap na ligtas," sabi ng proyekto. Pinayuhan ang mga user na huwag bumili, magbenta, o magbigay ng liquidity para sa SAND sa Base o BNB Smart Chain habang nananatiling nakahiwalay ang mga apektadong deployment. Kumukuha rin ang koponan ng snapshot mula bago ang pag-atake at sinabing ang mga kwalipikadong liquidity provider ay makakatanggap ng kompensasyon, bagama't hindi ito nagbigay ng iskedyul ng pagbabayad.

Paano nilikha ng SAND bridge exploit ang mga unbacked na token

Ang mga naunang alerto sa on-chain ay nagpakita ng higit sa 500 milyong SAND na na-mint sa Base, ngunit mabilis na tumaas ang naiulat na pigura habang patuloy na nakikipag-ugnayan ang umaatake sa kontrata. Kinilala kalaunan ng PeckShield ang humigit-kumulang 14.9 bilyong SAND na nilikha sa dalawang address. Nagtala ang iba pang mananaliksik sa seguridad ng daan-daang karagdagang transaksyon, na nagbibigay ng mas malaking pagtatantya para sa kabuuang bilang ng mga unbacked na token na nabuo bago hindi pinagana ang tulay. Ang laki ng na-mint na halaga ay hindi kumakatawan sa direktang pagkalugi sa pananalapi ng proyekto. Ang SAND na nilikha sa Base o BNB Smart Chain ay hindi maaaring magpataas ng nakapirming maximum na supply ng 3 bilyon ng token ng Ethereum maliban kung ang umaatake ay makagamit ng sistema ng cross-chain upang maglabas ng mga tunay na token na nakakandado sa adapter ng Ethereum. Ayon sa account ng forensics ng blockchain na BlockWatchdog, nag-withdraw ang umaatake ng humigit-kumulang 14.75 milyong SAND mula sa adapter ng Ethereum sa loob ng wala pang isang minuto. Ang mga benta ng token ay nakabuo ng humigit-kumulang 80 ETH, na nagkakahalaga ng humigit-kumulang $675,000 sa oras ng mga transaksyon. Ang pigura ay nagpapaliwanag kung bakit inilagay ng The Sandbox ang epekto sa mas mababa sa 0.01% ng kabuuang supply ng SAND kahit na ang bilang ng mga token na na-mint sa mga apektadong network ay lumitaw na mas malaki. Hindi pa nailalathala ng proyekto ang isang buong teknikal na ulat na nagpapaliwanag ng pagtatantya nito sa pagkalugi sa mga pigura na naiulat ng indibidwal na mga mananaliksik sa on-chain. Iniugnay ng Blockaid ang insidente sa pagkuha ng mga pahintulot ng delegasyon ng LayerZero sa pamamagitan ng isang approveAndCall function. Sinabi ng security firm na pinahintulutan ng access ang umaatake na mag-mint ng mga token sa pamamagitan ng mga apektadong kontrata ng cross-chain, bagama't hindi pa nakumpirma ng The Sandbox ang iminungkahing sanhi ng Blockaid sa isang detalyadong postmortem.

Bakit nanatiling hindi nagbabago ang supply ng Ethereum SAND

Ginagamit ng pamantayan ng Omnichain Fungible Token ng LayerZero ang mga nakakonektang kontrata upang ilipat ang mga asset sa pagitan ng mga blockchain. Sa ilalim ng modelo ng adapter nito, isang umiiral na token ang nakakandado sa orihinal nitong network habang isang katumbas na halaga ang na-mint sa destinasyon. Para sa SAND, ang adapter ng Ethereum ang humahawak ng mga orihinal na token na nilayon upang suportahan ang mga balanse ng cross-chain. Ang isang lehitimong paglipat sa Base ay dapat na i-lock ang SAND sa Ethereum bago lumikha ng katumbas na halaga sa Base, pinapanatili ang isang supply sa lahat ng konektadong network. Ang hindi awtorisadong pag-mint ay sumira sa relasyon ng pag-back sa mga apektadong chain, ngunit hindi nito muling isinulat ang kontrata ng token ng Ethereum o itinaas ang maximum na supply nito. Patuloy na ipinapakita ng CoinGecko ang maximum na supply na 3 bilyong SAND, na may humigit-kumulang 2.9 bilyong token na nasa sirkulasyon. Upang pigilan ang mga apektadong kontrata sa pakikipag-ugnayan sa iba pang deployment, inalis ng The Sandbox ang mga setting ng peer ng LayerZero para sa Base at BNB Smart Chain. Pinutol ng aksyon ang opisyal na ruta kung saan ang mga unbacked na token ay maaaring nagamit upang mag-claim ng mga asset na hawak ng adapter ng Ethereum. Isang katulad na pagkakaiba sa pagitan ng pagkabigo ng tulay at isang problema sa pinagbabatayan na blockchain ang lumitaw sa panahon ng Wanchain bridge exploit noong Hulyo. Humigit-kumulang 515 milyong NIGHT ang umalis sa Cardano-side treasury ng Wanchain, habang sinabi ng Midnight Foundation na ang core network, mga validator at sistema ng consensus nito ay nanatiling hindi apektado. Sa isa pang insidente noong Hulyo, ginamit ng isang umaatake ang import path ng Verus bridge upang mag-trigger ng mga payout ng asset na walang katumbas na nagkakahalaga ng humigit-kumulang $7.54 milyon. Iniugnay ng Blockaid ang pag-atake sa parehong kontrata ng tulay at tila bug class na kasangkot sa isang naunang paglabag noong Mayo.

Naghihigpit ang mga Korean exchange sa paglilipat ng SAND

Naglabas ang Upbit ng abiso ng pag-iingat matapos makahanap ng mga palatandaan ng posibleng problema sa seguridad na kinasasangkutan ng SAND, nagbabala na ang insidente ay maaaring magdulot ng matinding paggalaw ng presyo. Hiwalay na sinuspinde ng Bithumb ang mga deposito at pag-withdraw ng SAND habang sinusuri nito ang isyu. Inilagay ng mga ulat na binanggit ang mga abiso ng exchange ang pagsuspinde ng Bithumb bandang 11:11 a.m. Korea Standard Time noong Agosto 22, na sinundan ng Upbit bandang isang minuto mamaya. Maaaring magkaiba ang mga paghihigpit sa trading at pagsuspinde ng paglilipat, kaya dapat suriin ng mga user ang abiso ng bawat exchange bago maglagay ng order o subukang ilipat ang SAND. Ang mabilis na pagtugon ay naaayon sa mga pamamaraan ng South Korean exchange para sa mga asset na nahaharap sa pinaghihinalaang pagkakamali sa network, abnormal na pagpapalabas ng token, o mga insidente sa seguridad. Ang mga paghihigpit sa deposito ay maaaring limitahan ang pagkakataon na ang mga token na nilikha sa pamamagitan ng nakompromisong network ay makarating sa isang exchange at ibenta laban sa mga hindi apektadong balanse. Ang SAND ay nag-trade malapit sa $0.05 matapos ang pagsisiwalat, habang iniulat ng CoinGecko ang higit sa $66 milyon sa 24-oras na volume. Inilagay ng data provider ang market capitalization ng token malapit sa $136 milyon at nagpakita ng pagtaas ng humigit-kumulang 18% sa loob ng pitong araw, bagama't nag-iba-iba ang mga presyo sa iba't ibang lugar ng trading.

Nahaharap ang mga user ng Base sa nakahiwalay na panganib sa liquidity

Para sa mga user sa U.S., ang agarang koneksyon ay nagmumula sa Base, ang Ethereum layer-2 network na binuo ng U.S.-listed exchange na Coinbase. Naapektuhan ng naiulat na kahinaan ang mga cross-chain contract ng The Sandbox na na-deploy sa Base sa halip na ang pinagbabatayan na network ng Base, ayon sa magagamit na mga pagsisiwalat ng proyekto at seguridad. Ang babala ng The Sandbox ay nalalapat sa sinumang nagtataglay o nagta-trade ng nakahiwalay na Base version ng SAND, kabilang ang mga user sa U.S. na nag-a-access ng mga desentralisadong exchange sa pamamagitan ng self-custody wallet. Ang mga token na available sa Base liquidity pool ay maaaring hindi nagtataglay ng parehong backing tulad ng Ethereum-native SAND habang hindi pinagana ang opisyal na tulay. Ang insidente ay kasunod ng isang pag-atake noong Abril na kinasasangkutan ng isa pang asset na pinapatakbo ng LayerZero. Gaya ng iniulat ng crypto.news, sinabi ng ulat ng insidente ng KelpDAO ng LayerZero na ninakaw ng mga umaatake ang humigit-kumulang 116,500 rsETH na nagkakahalaga ng $292 milyon matapos makompromiso ang imprastraktura na ginagamit ng isang single-verifier cross-chain configuration. Kasunod ng pag-atake ng KelpDAO, sinabi ng LayerZero na titigil ang verification network nito sa pagpirma ng mga mensahe para sa mga application na gumagamit ng one-of-one verifier setup at hikayatin ang mga proyekto na gumamit ng maraming independiyenteng verifier. Hindi sinabi ng The Sandbox kung ginamit ng configuration nito ng SAND ang parehong modelo o kung ang pinakabagong kahinaan ay kinasasangkutan ng verification network ng LayerZero. Ang The Sandbox, isang subsidiary ng Animoca Brands na nakalikom ng $93 milyon noong 2021, ay nagsabing maglalathala ito ng karagdagang impormasyon habang nagpapatuloy ang imbestigasyon nito. Ang pinakabagong abiso nito ay hindi nagbigay ng petsa para sa pagpapanumbalik ng mga paglilipat sa Base at BNB Smart Chain o tinukoy kung kailan magsisimula ang mga claim ng kompensasyon para sa mga kwalipikadong liquidity provider.