The Sandbox зобов'язався відшкодувати відповідним власникам SAND 1:1 після експлойту мосту 21 серпня, який викачав близько 14,7 мільйона токенів на суму приблизно $700 000 зі сховища Ethereum.

Згідно з післяаналізом The Sandbox від 27 серпня, користувачі, які законно утримували SAND, переведені через міст на Base або BNB Smart Chain до атаки, отримають еквівалентну кількість SAND на базі Ethereum. Проєкт планує покрити виплати зі своєї скарбниці без карбування нових токенів.

Очікується, що подача заявок відкриється протягом двох тижнів і буде доступна ще протягом двох тижнів. На дві централізовані біржі припадає понад 72% відповідних балансів SAND, і The Sandbox заявив, що біржі розподілять токени на заміну безпосередньо постраждалим клієнтам.

The Sandbox відшкодує власникам SAND зі своєї скарбниці

План відшкодування охоплює законні баланси SAND, переведені через міст, які існували на Base та BNB Smart Chain до експлойту. Відповідні користувачі отримають SAND, випущені на Ethereum, замінюючи токени, які постраждали через скомпрометовану інфраструктуру мосту.

The Sandbox заявив, що його скарбниця вже містить токени, необхідні для цього процесу, що означає, що компенсація не збільшить оборотну або максимальну пропозицію SAND. Користувачам, які утримували відповідні баланси через дві централізовані біржі, що обробляють більшість постраждалих токенів, не потрібно буде подавати індивідуальні заявки.

Для інших власників проєкт планує запустити портал для подачі заявок, як тільки необхідна інфраструктура буде готова. Очікується, що двотижневий період подачі розпочнеться протягом двох тижнів після післяаналізу, хоча проєкт не надав конкретної дати відкриття.

План компенсації розроблено після атаки, яка була націлена на контракти, відповідальні за переміщення SAND між Ethereum та Base і BNB Smart Chain. Хоча зловмиснику вдалося створити величезну кількість незабезпечених SAND у цільових мережах, проєкт заявив, що збитки активам, що забезпечують законні токени, переведені через міст, становили близько 14,7 мільйона SAND.

Викрадена сума становила приблизно 0,5% від максимальної пропозиції SAND у 3 мільярди токенів.

Помилка конфігурації надала зловмиснику контроль над верифікацією мосту

The Sandbox відстежив інцидент до проблеми конфігурації в контрактах SAND, розгорнутих на Base та BNB Smart Chain. Ця помилка дозволила зловмиснику стати єдиним верифікатором для вхідних повідомлень мосту, надавши цій адресі можливість схвалювати шахрайські повідомлення без авторизації, яка зазвичай вимагається мостом.

Маючи контроль над цим процесом верифікації, зловмисник міг карбувати SAND у цільових ланцюгах, хоча відповідні токени не були законно заблоковані на Ethereum.

За даними післяаналізу, понад 339 трильйонів незабезпечених токенів SAND було зрештою викарбувано на Base та BNB Smart Chain. The Sandbox заявив, що шахрайська пропозиція з тих пір була ізольована і не може бути повернута через міст на Ethereum або викуплена за рахунок законних резервів SAND.

SAND, розгорнутий безпосередньо на Ethereum та Polygon, не постраждав від помилки конфігурації.

Відмінність між законними та незабезпеченими токенами є центральною для процесу відшкодування, оскільки мостові системи зазвичай залежать від того, що активи блокуються в одній мережі, перш ніж відповідне представництво випускається в іншому місці. Пояснення crypto.news, опубліковане 3 серпня, детально описує, як lock-and-mint та пов'язані з ними конструкції мостів покладаються на механізми верифікації, щоб забезпечити, що активи цільового ланцюга залишаються забезпеченими вартістю, що зберігається в іншому місці.

Crypto.news раніше повідомляв, що експлойти мостів призвели до втрат понад $4 мільярди з 2021 року, при цьому серед методів, які використовували зловмисники для скомпрометування міжланцюгової інфраструктури, були збої, пов'язані з обліковими даними валідатора, перевіркою повідомлень та смарт-контрактами.

Скомпрометовані мости SAND будуть назавжди виведені з експлуатації

Після атаки 21 серпня The Sandbox вирішив не відновлювати постраждалі контракти мосту Base та BNB Smart Chain. Обидва замість цього будуть назавжди виведені з експлуатації.

Будь-який майбутній міст, що з'єднує SAND з будь-якою мережею, вимагатиме нещодавно розгорнутих контрактів, згідно з проєктом. The Sandbox не надав графік відновлення доступу до мосту Base або BNB Smart Chain.

Подібні рішення щодо ізоляції або заміни скомпрометованої інфраструктури мосту слідували за кількома атаками цього року. У червні Humanity Protocol розкрив втрати, що перевищують $36 мільйонів, після того, як зловмисники отримали адміністративні ключі та взяли під контроль мостові системи, що охоплюють Ethereum і BNB Smart Chain.

Зловмисники в цьому інциденті змогли вивести токени з мосту Ethereum та викарбувати додаткові токени H на BNB Smart Chain. Подальше судово-медичне розслідування відстежило скомпрометовані ключі до зараженої шкідливим ПЗ машини розробника, яка містила резервні копії семи приватних ключів.

Інший інцидент з мостом у липні вразив інфраструктуру Wanchain, що з'єднує Cardano та BNB Chain. Фірма з безпеки блокчейну BlockSec заявила, що приблизно 515 мільйонів токенів NIGHT було вилучено зі скарбниці Cardano в експлойті мосту Wanchain, що на той час коштувало близько $9 мільйонів. Midnight заявила, що її основна мережа залишалася безпечною, і описала інцидент як обмежений інфраструктурою мосту.

Експлойти мостів продовжувалися протягом 2026 року

Міжланцюгова інфраструктура зіткнулася з низкою атак протягом 2026 року, пов'язаних з різними збоями у верифікації та безпеці.

Axelar відключив з'єднання мосту з Secret Network у червні після того, як експлойт призвів до втрат приблизно $4,7 мільйона. Інцидент торкнувся активів, переведених через міст Axelar на Secret Network, тоді як Axelar заявив, що його основний протокол залишився незмінним.

Через місяць AFX зазнала втрати USDC на суму $24,15 мільйона через міст, керований торговим протоколом. Постраждала інфраструктура була окремою від нативного мосту Arbitrum, і зловмисник згодом перемістив викрадені USDC на Ethereum, перш ніж конвертувати їх у близько 12 467,5 ETH.

AFX пізніше підготував план "доброї волі" для користувачів після того, як його розслідування пов'язало атаку з кампанією соціальної інженерії, яка скомпрометувала внутрішню інфраструктуру розробки. Протокол заявив, що він перебудував ключову інфраструктуру та запровадив нові заходи безпеки після інциденту.

Процес відшкодування The Sandbox, як очікується, розпочнеться, як тільки його система подачі заявок буде готова. Відповідні баланси, що утримуються через дві централізовані біржі, оброблятимуться безпосередньо цими платформами, тоді як інші власники матимуть два тижні для подачі заявок після відкриття порталу.

На момент післяаналізу SAND торгувався близько $0,04, знизившись приблизно на 10,4% за попередні сім днів.