Сегодня рано утром пользователи Sandbox, пострадавшие от атаки 21 августа, получили хорошие новости: проект объявил о плане компенсации в соотношении 1:1, которая будет выплачена в версии $SAND на базе Ethereum .
Согласно заявлению компании The Sandbox, она откроет двухнедельный период для подачи заявок на компенсацию в течение двух недель после публикации информации 27 августа.
План компенсаций распространяется только на держателей токенов, которые, как доказано, владели объединенными токенами $SAND в сетях Base и BNB Smart Chain (BSC) на момент взлома. В совокупности эта группа держателей потеряла примерно 697 000 долларов.
Когда владельцы $SAND получат компенсацию?
По данным The Sandbox, пострадавшим пользователям придется ждать как минимум месяц, прежде чем они получат свою компенсацию.
- Процесс подачи заявок начнётся в течение двух недель после 27 августа.
- Приём заявок продлится ещё две недели.
Возврат средств будет осуществлен в виде $SAND на основе Ethereum, и право на него получат только владельцы мостовых $SAND на платформах Base и BSC на момент утечки.
Владельцы версии $SAND на Ethereum полностью избежалиdentинцидента, поскольку объем предложения в сети по-прежнему составляет 3 миллиарда токенов. Версия $SAND на основе Polygon также не пострадала, поскольку работает через отдельный мост.
«Балансы в обеих цепочках остаются неизменными, и никаких действий от пользователя не требуется», — пояснила компания The Sandbox в своем анализе причин произошедшего.
В песочнице винят в уязвимостиtracтокенов
В Sandbox заявили, что уязвимость не связана с ключами, которые находятся под их контролем, указав вместо этого наtracтокенов $SAND на платформах Base и BSC.
Как показал анализ после сбоя, контракт на токенtracнастроен таким образом, чтобы одновременно выполнять функцию зарегистрированного приложения моста. Проблема заключалась в том, что уровень обмена сообщениями интерпретировал любые входные данные с этой стороны как прямые инструкции от самой «песочницы».
Предполагалось, что такая схема позволит пользователям избежать лишних транзакций. Вместо этого злоумышленники воспользовались лазейкой и за четыре этапа нанесли экономический ущерб на общую сумму почти 1,49 миллиона долларов.
- Сначала они воспользовались функцией звонка, чтобы зарегистрировать свой собственный адрес в качестве авторизованного администратора.
- Получив права администратора, они переписали настройки проверки таким образом, что для подтверждения сообщения в мосте было достаточно одного подтверждения с их собственного адреса.
- Затем они отправили поддельные сообщения о депозитах, в результате чего на платформах Base и BSC были выпущены $SAND за депозиты Ethereum , которых на самом деле не было.
- В конце концов, они продали часть поддельных токенов за эфир и использовали функцию обратного моста, чтобы извлечь настоящие $SAND из хранилища Ethereum .
По данным криминалистической экспертизы, сумма, снятая непосредственно с банковского счета, составила 14 742 341,84 $SAND. Злоумышленник скрылся с примерно 987 000 долларов.
Мост остаётся закрытым
компания Sandbox закрыла мост на уровне контрактаtracвсех трех цепочках, и, по ее данным, с 02:21 UTC того же дня ни один объект $SAND не покинул сеть. В первом публичном уведомлении, опубликованном 22 августа, уязвимость была названа «полностью локализованной», а ущерб составил менее 0,01% от общего объема предложения $SAND.
Компания не стала питать надежд на временное возобновление работы моста. Поскольку затронутыеtracпозволяют приложению постоянно перестраиваться, контроль над ролями делегатов «можно оспорить навсегда», и любая попытка вернуть их может быть сорвана любым, кто готов заплатить за газ.
В своем заявлении компания отметила: «Нет такой конфигурации этихtrac, при которой повторное открытие моста было бы безопасным»
Первоначально этот инцидент вызвал панику на рынке. Cryptopolitan сообщило , что компания Lookonchain, занимающаяся обработкой данных в блокчейне, зафиксировала предполагаемую «атаку с бесконечным созданием памяти» и оценила объем созданных $SAND-блоков более чем в 500 миллионов.
Южнокорейские биржи Upbit и Bithumb ограничили внесение и вывод средств в $SAND и предупредили трейдеров о волатильности. $SAND торговался около $0,042 , а рыночная капитализация составляла около $123 миллионов.