The Sandbox telah berjanji untuk mengganti rugi pemegang SAND yang memenuhi syarat 1:1 setelah eks_ploitasi bridge pada 21 Agustus menguras sekitar 14,7 juta token senilai kurang lebih $700.000 dari vault Ethereum.
Menurut laporan pasca-kejadian The Sandbox tanggal 27 Agustus, pengguna yang secara sah memegang SAND yang di-bridge di Base atau BNB Smart Chain sebelum serangan akan menerima jumlah SAND berbasis Ethereum yang setara. Proyek ini berencana untuk menutupi pembayaran dari kasnya tanpa mencetak token baru.
Klaim diperkirakan akan dibuka dalam waktu dua minggu dan tetap tersedia selama dua minggu berikutnya. Dua bursa terpusat menyumbang lebih dari 72% dari saldo SAND yang memenuhi syarat, dan The Sandbox mengatakan bursa tersebut akan mendistribusikan token pengganti langsung kepada pelanggan yang terpengaruh.
Rencana pembayaran kembali ini mencakup saldo SAND bridge yang sah yang ada di Base dan BNB Smart Chain sebelum eks_ploitasi. Pengguna yang memenuhi syarat akan menerima SAND yang diterbitkan di Ethereum, menggantikan token yang terpengaruh oleh infrastruktur bridge yang disusupi.
The Sandbox mengatakan kasnya sudah memiliki token yang diperlukan untuk proses tersebut, yang berarti kompensasi tidak akan meningkatkan pasokan beredar atau maksimum SAND. Pengguna yang memegang saldo yang memenuhi syarat melalui dua bursa terpusat yang menangani sebagian besar token yang terpengaruh tidak perlu mengajukan klaim individual.
Untuk pemegang lainnya, proyek ini berencana untuk meluncurkan portal klaim setelah infrastruktur yang diperlukan siap. Periode pengajuan selama dua minggu diperkirakan akan dimulai dalam waktu dua minggu setelah laporan pasca-kejadian, meskipun proyek ini tidak memberikan tanggal pembukaan spesifik.
Rencana kompensasi ini mengikuti serangan yang menargetkan kontrak yang bertanggung jawab untuk memindahkan SAND antara Ethereum dan Base serta BNB Smart Chain. Meskipun eks_ploiter mampu menciptakan sejumlah besar SAND yang tidak didukung di jaringan tujuan, proyek ini mengatakan kerugian pada aset yang mendukung token bridge yang sah berjumlah sekitar 14,7 juta SAND.
Jumlah yang dicuri mewakili sekitar 0,5% dari pasokan maksimum SAND sebesar 3 miliar token.
The Sandbox melacak insiden tersebut ke masalah konfigurasi dalam kontrak SAND yang diterapkan di Base dan BNB Smart Chain. Celah tersebut memungkinkan penyerang menjadi satu-satunya verifikator untuk pesan bridge yang masuk, memberikan alamat tersebut kemampuan untuk menyetujui pesan penipuan tanpa otorisasi yang biasanya diperlukan oleh bridge.
Dengan kendali atas proses verifikasi tersebut, penyerang dapat mencetak SAND di rantai tujuan meskipun token yang sesuai belum dikunci secara sah di Ethereum.
Lebih dari 339 triliun token SAND yang tidak didukung akhirnya dicetak di Base dan BNB Smart Chain, menurut laporan pasca-kejadian. The Sandbox mengatakan pasokan penipuan tersebut telah diisolasi dan tidak dapat di-bridge kembali ke Ethereum atau ditukar dengan cadangan SAND yang sah.
SAND yang diterapkan langsung di Ethereum dan Polygon tidak terpengaruh oleh celah konfigurasi tersebut.
Perbedaan antara token sah dan tidak didukung sangat penting bagi proses penggantian rugi karena sistem bridge umumnya bergantung pada aset yang dikunci di satu jaringan sebelum representasi yang sesuai dikeluarkan di tempat lain. Penjelasan crypto.news yang diterbitkan 3 Agustus merinci bagaimana desain bridge lock-and-mint dan yang terkait bergantung pada mekanisme verifikasi untuk memastikan aset di rantai tujuan tetap didukung oleh nilai yang disimpan di tempat lain.
Crypto.news sebelumnya melaporkan bahwa eks_ploitasi bridge telah mengakibatkan kerugian lebih dari $4 miliar sejak tahun 2021, dengan kegagalan yang melibatkan kredensial validator, verifikasi pesan, dan kontrak pintar di antara metode yang digunakan penyerang untuk menyusupi infrastruktur lintas-rantai.
Setelah serangan 21 Agustus, The Sandbox memutuskan untuk tidak memulihkan kontrak bridge Base dan BNB Smart Chain yang terpengaruh. Keduanya justru akan dinonaktifkan secara permanen.
Bridge di masa depan yang menghubungkan SAND dengan salah satu jaringan tersebut akan memerlukan kontrak yang baru diterapkan, menurut proyek tersebut. The Sandbox tidak memberikan jadwal untuk memulihkan akses bridge ke Base atau BNB Smart Chain.
Keputusan serupa untuk mengisolasi atau mengganti infrastruktur bridge yang disusupi telah mengikuti beberapa serangan tahun ini. Pada bulan Juni, Humanity Protocol mengungkapkan kerugian melebihi $36 juta setelah penyerang memperoleh kunci administratif dan mengambil alih sistem bridge yang mencakup Ethereum dan BNB Smart Chain.
Penyerang dalam insiden tersebut mampu menguras token dari bridge Ethereum dan mencetak token H tambahan di BNB Smart Chain. Investigasi forensik selanjutnya melacak kunci yang disusupi ke mesin pengembang yang terinfeksi malware yang berisi cadangan untuk tujuh kunci pribadi.
Insiden bridge lainnya pada bulan Juli menyerang infrastruktur Wanchain yang menghubungkan Cardano dan BNB Chain. Perusahaan keamanan blockchain BlockSec mengatakan sekitar 515 juta token NIGHT dikeluarkan dari kas sisi Cardano dalam eks_ploitasi bridge Wanchain, senilai sekitar $9 juta pada saat itu. Midnight mengatakan jaringan intinya tetap aman dan menggambarkan insiden tersebut terisolasi pada infrastruktur bridge.
Infrastruktur lintas-rantai telah menghadapi serangkaian serangan selama tahun 2026 yang melibatkan kegagalan verifikasi dan keamanan yang berbeda.
Axelar menonaktifkan koneksi bridge dengan Secret Network pada bulan Juni setelah eks_ploitasi mengakibatkan kerugian sekitar $4,7 juta. Insiden tersebut memengaruhi aset yang di-bridge Axelar di Secret Network sementara Axelar mengatakan protokol intinya tetap tidak terpengaruh.
Sebulan kemudian, AFX menderita kerugian USDC $24,15 juta melalui bridge yang dioperasikan oleh protokol perdagangan. Infrastruktur yang terpengaruh terpisah dari bridge asli Arbitrum, dan penyerang kemudian memindahkan USDC yang dicuri ke Ethereum sebelum mengonversinya menjadi sekitar 12.467,5 ETH.
AFX kemudian menyiapkan rencana niat baik untuk pengguna setelah penyelidikannya menghubungkan serangan tersebut dengan kampanye rekayasa sosial yang menyusupi infrastruktur pengembangan internal. Protokol tersebut mengatakan telah membangun kembali infrastruktur utama dan memperkenalkan langkah-langkah keamanan baru setelah insiden tersebut.
Proses penggantian rugi The Sandbox diperkirakan akan dimulai setelah sistem klaimnya siap. Saldo yang memenuhi syarat yang dipegang melalui dua bursa terpusat akan ditangani langsung oleh platform tersebut, sementara pemegang lainnya akan memiliki waktu dua minggu untuk mengajukan klaim setelah portal dibuka.
SAND diperdagangkan mendekati $0,04 pada saat laporan pasca-kejadian, turun sekitar 10,4% selama tujuh hari sebelumnya.
