The Sandbox a promis să ramburseze deținătorii eligibili de SAND în raport de 1:1, după ce un exploit de bridge din 21 august a drenat aproximativ 14,7 milioane de tokenuri, în valoare de circa 700.000 de dolari, dintr-un seif Ethereum.

Conform raportului post-mortem al The Sandbox din 27 august, utilizatorii care dețineau în mod legitim tokenuri SAND transferate pe Base sau BNB Smart Chain înainte de atac vor primi o cantitate echivalentă de SAND bazat pe Ethereum. Proiectul intenționează să acopere plățile din trezoreria sa, fără a crea noi tokenuri.

Cererile se estimează că se vor deschide în decurs de două săptămâni și vor rămâne disponibile pentru încă două săptămâni. Două exchange-uri centralizate reprezintă peste 72% din soldurile eligibile de SAND, iar The Sandbox a declarat că exchange-urile vor distribui tokenurile de înlocuire direct clienților afectați.

The Sandbox va rambursa deținătorii de SAND din trezoreria sa

Planul de rambursare acoperă soldurile legitime de SAND transferate care existau pe Base și BNB Smart Chain înainte de exploit. Utilizatorii eligibili vor primi SAND emis pe Ethereum, înlocuind tokenurile afectate de infrastructura de bridge compromisă.

The Sandbox a declarat că trezoreria sa deține deja tokenurile necesare pentru proces, ceea ce înseamnă că compensația nu va crește oferta circulantă sau maximă de SAND. Utilizatorii care dețineau solduri eligibile prin intermediul celor două exchange-uri centralizate care gestionează majoritatea tokenurilor afectate nu vor trebui să depună cereri individuale.

Pentru alți deținători, proiectul intenționează să lanseze un portal de revendicări odată ce infrastructura necesară va fi pregătită. Perioada de depunere de două săptămâni este de așteptat să înceapă în decurs de două săptămâni de la raportul post-mortem, deși proiectul nu a oferit o dată specifică de deschidere.

Planul de compensare urmează unui atac care a vizat contractele responsabile pentru mutarea SAND între Ethereum și Base și BNB Smart Chain. Deși exploatatorul a reușit să creeze o cantitate enormă de SAND neacoperit pe rețelele de destinație, proiectul a declarat că pagubele aduse activelor care susțineau tokenurile transferate legitim s-au ridicat la aproximativ 14,7 milioane de SAND.

Suma furată a reprezentat aproximativ 0,5% din oferta maximă de SAND de 3 miliarde de tokenuri.

Eroarea de configurare a oferit atacatorului controlul verificării bridge-ului

The Sandbox a urmărit incidentul până la o problemă de configurare în contractele SAND implementate pe Base și BNB Smart Chain. Eroarea a permis atacatorului să devină singurul verificator pentru mesajele de bridge primite, oferind adresei capacitatea de a aproba mesaje frauduloase fără autorizația necesară în mod normal de către bridge.

Având controlul acestui proces de verificare, atacatorul a putut crea SAND pe lanțurile de destinație, chiar dacă tokenurile corespunzătoare nu fuseseră blocate în mod legitim pe Ethereum.

Peste 339 de trilioane de tokenuri SAND neacoperite au fost create în cele din urmă pe Base și BNB Smart Chain, conform raportului post-mortem. The Sandbox a declarat că oferta frauduloasă a fost de atunci izolată și nu poate fi transferată înapoi la Ethereum sau răscumpărată împotriva rezervelor legitime de SAND.

SAND implementat direct pe Ethereum și Polygon nu a fost afectat de eroarea de configurare.

Diferența dintre tokenurile legitime și cele neacoperite este esențială pentru procesul de rambursare, deoarece sistemele de bridge depind în mod obișnuit de blocarea activelor pe o rețea înainte ca o reprezentare corespunzătoare să fie emisă în altă parte. Un explicativ crypto.news publicat pe 3 august a detaliat modul în care designurile de tip "lock-and-mint" și celelalte modele de bridge se bazează pe mecanisme de verificare pentru a asigura că activele din lanțul de destinație rămân susținute de valoare deținută în altă parte.

Crypto.news a raportat anterior că exploit-urile de bridge au dus la pierderi de peste 4 miliarde de dolari din 2021, cu eșecuri care implică credențiale de validator, verificarea mesajelor și contracte inteligente printre metodele pe care atacatorii le-au folosit pentru a compromite infrastructura cross-chain.

Bridge-urile SAND compromise vor fi retrase permanent

După atacul din 21 august, The Sandbox a decis să nu restabilească contractele de bridge afectate de pe Base și BNB Smart Chain. Ambele vor fi în schimb retrase permanent.

Orice bridge viitor care conectează SAND cu oricare dintre rețele ar necesita contracte nou implementate, conform proiectului. The Sandbox nu a oferit un calendar pentru restabilirea accesului bridge-ului la Base sau BNB Smart Chain.

Decizii similare de a izola sau înlocui infrastructura de bridge compromisă au urmat mai multor atacuri în acest an. În iunie, Humanity Protocol a dezvăluit pierderi de peste 36 de milioane de dolari după ce atacatorii au obținut chei administrative și au preluat controlul sistemelor de bridge care conectau Ethereum și BNB Smart Chain.

Atacatorii din acel incident au reușit să dreneze tokenuri din bridge-ul Ethereum și să creeze tokenuri H suplimentare pe BNB Smart Chain. O investigație criminalistică ulterioară a urmărit cheile compromise până la un computer de dezvoltator infectat cu malware care conținea backup-uri pentru șapte chei private.

Un alt incident de bridge din iulie a lovit infrastructura Wanchain care conecta Cardano și BNB Chain. Firma de securitate blockchain BlockSec a declarat că aproximativ 515 milioane de tokenuri NIGHT au fost eliminate din trezoreria Cardano în exploit-ul bridge-ului Wanchain, valorând aproximativ 9 milioane de dolari la momentul respectiv. Midnight a declarat că rețeaua sa principală a rămas sigură și a descris incidentul ca fiind izolat la infrastructura bridge-ului.

Exploit-urile de bridge au continuat până în 2026

Infrastructura cross-chain s-a confruntat cu o serie de atacuri în 2026, implicând diverse eșecuri de verificare și securitate.

Axelar a dezactivat conexiunile bridge cu Secret Network în iunie, după ce un exploit a dus la pierderi de aproximativ 4,7 milioane de dolari. Incidentul a afectat activele transferate prin Axelar pe Secret Network, în timp ce Axelar a declarat că protocolul său de bază a rămas neafectat.

O lună mai târziu, AFX a suferit o pierdere de 24,15 milioane de dolari USDC printr-un bridge operat de protocolul de tranzacționare. Infrastructura afectată era separată de bridge-ul nativ al Arbitrum, iar atacatorul a mutat ulterior USDC-ul furat pe Ethereum înainte de a-l converti în aproximativ 12.467,5 ETH.

AFX a pregătit ulterior un plan de bunăvoință pentru utilizatori, după ce investigația sa a legat atacul de o campanie de inginerie socială care a compromis infrastructura internă de dezvoltare. Protocolul a declarat că a reconstruit infrastructura cheie și a introdus noi măsuri de securitate după incident.

Procesul de rambursare al The Sandbox este de așteptat să înceapă odată ce sistemul său de revendicări este pregătit. Soldurile eligibile deținute prin intermediul celor două exchange-uri centralizate vor fi gestionate direct de către acele platforme, în timp ce deținătorii rămași vor avea două săptămâni pentru a depune cereri după deschiderea portalului.

SAND se tranzacționa aproape de 0,04 dolari la momentul raportului post-mortem, în scădere cu aproximativ 10,4% în ultimele șapte zile.