The Sandbox đã khống chế một lỗ hổng cầu nối xuyên chuỗi cho phép kẻ tấn công đúc SAND không có tài sản đảm bảo trên Base và BNB Smart Chain, với ước tính tác động trực tiếp của dự án là dưới 0.01% trong tổng nguồn cung 3 tỷ token.
The Sandbox cho biết họ đã kiểm soát hoàn toàn lỗ hổng ảnh hưởng đến cầu nối SAND của mình trên Base và BNB Smart Chain, đồng thời khẳng định rằng không có ví người dùng nào bị xâm phạm và SAND được giữ trên Ethereum và Polygon vẫn an toàn.
Trong một tuyên bố vào ngày 22 tháng 8, dự án metaverse cho biết kẻ tấn công đã tạo ra token trên Base và BNB Smart Chain mà không có SAND cần thiết để đảm bảo chúng trên Ethereum. Nhóm đã vô hiệu hóa việc chuyển cầu nối đến và đi từ cả hai mạng lưới, cô lập các token bị ảnh hưởng và ngăn chặn chúng được đổi thông qua cầu nối chính thức.
“Tất cả các quỹ SAND được bắc cầu đều được đảm bảo bằng SAND bị khóa trên Ethereum, vẫn hoàn toàn an toàn,” dự án cho biết.
Người dùng được khuyến cáo không mua, bán hoặc cung cấp thanh khoản cho SAND trên Base hoặc BNB Smart Chain trong khi các triển khai bị ảnh hưởng vẫn bị cô lập. Nhóm cũng đang chụp nhanh dữ liệu từ trước cuộc tấn công và cho biết các nhà cung cấp thanh khoản đủ điều kiện sẽ nhận được bồi thường, mặc dù chưa đưa ra lịch thanh toán.
Các cảnh báo on-chain ban đầu cho thấy hơn 500 triệu SAND đã được đúc trên Base, nhưng con số được báo cáo đã tăng nhanh chóng khi kẻ tấn công tiếp tục tương tác với hợp đồng.
PeckShield sau đó đã xác định khoảng 14.9 tỷ SAND được tạo ra trên hai địa chỉ. Các nhà nghiên cứu bảo mật khác đã ghi nhận hàng trăm giao dịch bổ sung, đưa ra ước tính lớn hơn nhiều về tổng số token không có tài sản đảm bảo được tạo ra trước khi cầu nối bị vô hiệu hóa.
Quy mô của số lượng token được đúc không đại diện cho thiệt hại tài chính trực tiếp của dự án. SAND được tạo trên Base hoặc BNB Smart Chain không thể làm tăng nguồn cung tối đa cố định 3 tỷ của token Ethereum trừ khi kẻ tấn công có thể sử dụng hệ thống xuyên chuỗi để giải phóng các token gốc bị khóa trong bộ chuyển đổi Ethereum.
Theo tài khoản điều tra pháp y blockchain BlockWatchdog, kẻ tấn công đã rút khoảng 14.75 triệu SAND từ bộ chuyển đổi Ethereum trong vòng chưa đầy một phút. Việc bán token đã tạo ra khoảng 80 ETH, trị giá khoảng 675,000 USD tại thời điểm giao dịch.
Con số này giúp giải thích tại sao The Sandbox lại đặt mức tác động dưới 0.01% tổng nguồn cung SAND mặc dù số lượng token được đúc trên các mạng bị ảnh hưởng dường như lớn hơn nhiều. Dự án vẫn chưa công bố báo cáo kỹ thuật đầy đủ để đối chiếu ước tính thiệt hại của mình với các số liệu được báo cáo bởi các nhà nghiên cứu on-chain cá nhân.
Blockaid đã quy trách nhiệm sự cố này cho việc chiếm quyền ủy quyền của LayerZero thông qua chức năng approveAndCall. Công ty bảo mật cho biết quyền truy cập này đã cho phép kẻ tấn công đúc token thông qua các hợp đồng xuyên chuỗi bị ảnh hưởng, mặc dù The Sandbox vẫn chưa xác nhận nguyên nhân được Blockaid đề xuất trong báo cáo điều tra chi tiết.
Tiêu chuẩn Omnichain Fungible Token của LayerZero sử dụng các hợp đồng liên kết để di chuyển tài sản giữa các blockchain. Theo mô hình bộ chuyển đổi của nó, một token hiện có được khóa trên mạng lưới gốc của nó trong khi một lượng tương đương được đúc tại điểm đến.
Đối với SAND, bộ chuyển đổi Ethereum giữ các token gốc nhằm hỗ trợ số dư xuyên chuỗi. Một giao dịch chuyển hợp lệ đến Base sẽ khóa SAND trên Ethereum trước khi tạo ra lượng tương ứng trên Base, bảo toàn một nguồn cung trên các mạng lưới được kết nối.
Việc đúc token trái phép đã phá vỡ mối quan hệ đảm bảo trên các chuỗi bị ảnh hưởng, nhưng nó không ghi đè lên hợp đồng token Ethereum hoặc tăng nguồn cung tối đa của nó. CoinGecko tiếp tục hiển thị nguồn cung tối đa là 3 tỷ SAND, với khoảng 2.9 tỷ token đang lưu hành.
Để ngăn chặn các hợp đồng bị ảnh hưởng giao tiếp với các triển khai khác, The Sandbox đã xóa các cài đặt ngang hàng LayerZero cho Base và BNB Smart Chain. Hành động này đã cắt đứt tuyến đường chính thức mà qua đó các token không có tài sản đảm bảo có thể đã được sử dụng để yêu cầu tài sản được giữ bởi bộ chuyển đổi Ethereum.
Một sự khác biệt tương tự giữa lỗi cầu nối và vấn đề với blockchain cơ bản đã xuất hiện trong vụ khai thác cầu nối Wanchain vào tháng 7. Khoảng 515 triệu NIGHT đã rời khỏi kho bạc Cardano của Wanchain, trong khi Midnight Foundation cho biết mạng lưới cốt lõi, trình xác thực và hệ thống đồng thuận của họ vẫn không bị ảnh hưởng.
Trong một sự cố khác vào tháng 7, kẻ tấn công đã sử dụng đường dẫn nhập của cầu nối Verus để kích hoạt các khoản thanh toán tài sản không có tài sản đảm bảo trị giá khoảng 7.54 triệu USD. Blockaid đã liên kết cuộc tấn công này với cùng một hợp đồng cầu nối và loại lỗi rõ ràng liên quan đến một vụ vi phạm trước đó vào tháng 5.
Upbit đã đưa ra thông báo cảnh báo sau khi phát hiện các dấu hiệu của một vấn đề bảo mật tiềm ẩn liên quan đến SAND, cảnh báo rằng sự cố có thể gây ra biến động giá mạnh. Bithumb riêng rẽ đã tạm dừng việc gửi và rút SAND trong khi xem xét vấn đề.
Các báo cáo trích dẫn thông báo của sàn giao dịch cho biết Bithumb đã tạm dừng vào lúc 11:11 sáng Giờ chuẩn Hàn Quốc vào ngày 22 tháng 8, tiếp theo là Upbit khoảng một phút sau đó. Các hạn chế giao dịch và tạm dừng chuyển khoản có thể khác nhau, vì vậy người dùng phải kiểm tra thông báo của từng sàn giao dịch trước khi đặt lệnh hoặc cố gắng di chuyển SAND.
Phản ứng nhanh chóng này phù hợp với các quy trình của sàn giao dịch Hàn Quốc đối với các tài sản đối mặt với lỗi mạng bị nghi ngờ, việc phát hành token bất thường hoặc các sự cố bảo mật. Các hạn chế gửi tiền có thể hạn chế khả năng các token được tạo ra thông qua một mạng lưới bị xâm phạm đến được sàn giao dịch và được bán để chống lại số dư không bị ảnh hưởng.
SAND giao dịch gần 0.05 USD sau khi tiết lộ, trong khi CoinGecko báo cáo khối lượng 24 giờ hơn 66 triệu USD. Nhà cung cấp dữ liệu đã đặt vốn hóa thị trường của token gần 136 triệu USD và cho thấy mức tăng khoảng 18% trong bảy ngày, mặc dù giá cả khác nhau trên các sàn giao dịch.
Đối với người dùng Hoa Kỳ, kết nối trực tiếp đến thông qua Base, mạng lưới layer-2 của Ethereum được phát triển bởi sàn giao dịch Coinbase niêm yết tại Hoa Kỳ. Lỗ hổng được báo cáo đã ảnh hưởng đến các hợp đồng xuyên chuỗi của The Sandbox được triển khai trên Base chứ không phải mạng lưới cơ bản của Base, theo các công bố của dự án và bảo mật hiện có.
Cảnh báo của The Sandbox áp dụng cho bất kỳ ai đang nắm giữ hoặc giao dịch phiên bản SAND bị cô lập trên Base, bao gồm người dùng Hoa Kỳ truy cập các sàn giao dịch phi tập trung thông qua ví tự lưu ký. Các token có sẵn trong các pool thanh khoản Base có thể không có cùng tài sản đảm bảo như SAND gốc Ethereum trong khi cầu nối chính thức vẫn bị vô hiệu hóa.
Sự cố này xảy ra sau một cuộc tấn công vào tháng 4 liên quan đến một tài sản khác được cung cấp bởi LayerZero. Như crypto.news đã báo cáo, báo cáo sự cố KelpDAO của LayerZero cho biết những kẻ tấn công đã đánh cắp khoảng 116,500 rsETH trị giá 292 triệu USD sau khi xâm phạm cơ sở hạ tầng được sử dụng bởi cấu hình xuyên chuỗi một trình xác thực.
Sau cuộc tấn công KelpDAO, LayerZero cho biết mạng lưới xác minh của họ sẽ ngừng ký tin nhắn cho các ứng dụng sử dụng thiết lập một trình xác thực duy nhất và khuyến khích các dự án áp dụng nhiều trình xác thực độc lập. The Sandbox chưa cho biết liệu cấu hình SAND của họ có sử dụng cùng mô hình hay liệu lỗ hổng mới nhất có liên quan đến mạng lưới xác minh của LayerZero hay không.
The Sandbox, một công ty con của Animoca Brands đã huy động được 93 triệu USD vào năm 2021, cho biết họ sẽ công bố thêm thông tin khi cuộc điều tra của mình tiến triển. Thông báo mới nhất của họ không cung cấp ngày khôi phục các giao dịch chuyển Base và BNB Smart Chain hoặc chỉ định thời điểm mở yêu cầu bồi thường cho các nhà cung cấp thanh khoản đủ điều kiện.
SAND
ETH