The Sandbox ha contenido un exploit de puente entre cadenas que permitió a un atacante crear tokens de SAND no respaldados en Base y BNB Smart Chain, generando uno de esos titulares cripto que suenan físicamente imposibles a primera vista: investigadores de seguridad contaron miles de millones de SAND recién acuñados, y una estimación situó su valor nominal cerca de 49.000 millones de dólares.
No, un atacante no robó 49.000 millones de dólares de The Sandbox. Nunca hubo 49.000 millones de dólares en valor real depositados allí esperando ser retirados. La cifra surgió de aplicar el precio normal de mercado de SAND a una cantidad absurda de tokens que se habían creado sin respaldo detrás de ellos.
Esa distinción está en el centro de esta historia.
Lo que el atacante encontró realmente
La infraestructura afectada era la versión entre cadenas de SAND utilizada en Base y BNB Smart Chain. En una configuración de puente normal, SAND se bloquea en Ethereum y, a continuación, puede existir una cantidad correspondiente en otra red compatible. Se supone que el suministro en la cadena de destino debe permanecer respaldado por los tokens originales.
Según la firma de seguridad blockchain Blockaid, el atacante secuestró los permisos delegados de LayerZero vinculados al contrato de token fungible omnichain de SAND y usó el
approveAndCall
para acuñar tokens que no tenían SAND correspondiente bloqueado detrás. Blockaid señaló aproximadamente 49 mil millones de dólares en acuñación con valor nominal en más de 400 transacciones mientras el ataque aún estaba en curso.
PeckShield más tarde contó aproximadamente 14.9 mil millones de SAND acuñados en dos direcciones del atacante. Para ponerlo en perspectiva, el suministro máximo declarado de SAND es solo 3 mil millones de tokens. La cantidad falsificada identificada por PeckShield estaba, por lo tanto, cerca de cinco veces el máximo suministro que el token alguna vez se suponía que tendría.
La cripto ha encontrado muchas formas creativas de hacer que los gráficos del suministro de tokens se vean extraños. Crear, en un solo exploit, varias vidas extra de suministro es, sin duda, una de ellas.
Por qué los 49 mil millones de dólares nunca fueron realmente 49 mil millones de dólares
En el momento del incidente, toda la capitalización bursátil de SAND era de alrededor de 140 millones de dólares. Obviamente no había suficiente liquidez en Base, BNB Chain, en exchanges centralizados ni en ningún otro lugar como para convertir decenas de miles de millones de tokens recién creados en decenas de miles de millones de dólares.
Si alguien crea 10 mil millones de tokens no respaldados y el token legítimo cotiza a cinco centavos, un explorador de bloques puede mostrar un valor teórico de 500 millones de dólares. Eso no significa que haya compradores dispuestos a entregar 500 millones de dólares. En un exploit como este, el valor mostrado se vuelve cada vez más ficticio a medida que crece el suministro no autorizado.
Las preguntas importantes desde el punto de vista económico son: cuánta liquidez legítima pudo alcanzar el atacante, si algún token respaldado u otros activos escaparon antes de la contención, y quién se quedó con posiciones de liquidez afectadas. The Sandbox aún no ha publicado un post mortem técnico completo ni una cifra final auditada de pérdidas.
The Sandbox cerró las puertas en Base y BNB Chain
The Sandbox dijo que identificó y contuvo la vulnerabilidad, deshabilitó el puente hacia y desde Base y BNB Smart Chain, e hizo aislamiento de SAND en esas redes para que los tokens afectados no puedan moverse ni canjearse a través del puente oficial.
La empresa también dijo que SAND en Ethereum y Polygon no se vio afectado, que no se comprometieron carteras de usuarios y que el SAND de respaldo mantenido en Ethereum para tokens puenteados legítimos sigue intacto. Advirtió a los usuarios que no compraran, vendieran ni comerciaran SAND en Base o BNB Smart Chain mientras la liquidez en esas redes estuviera comprometida. El informe de CoinDesk también señaló que Upbit y Bithumb suspendieron los depósitos y retiros de SAND después del incidente.
El equipo está tomando una instantánea previa al incidente y dice que está preparando una compensación para los usuarios elegibles de los pools de liquidez afectados. Todavía se espera un informe completo del incidente y un post mortem técnico.
Hay un número que todavía necesita aclaración
The Sandbox describió el impacto como menos del 0.01% del suministro total de SAND. Tomado literalmente, frente a un suministro máximo de 3 mil millones de tokens, el 0.01% serían menos de 300,000 SAND.
Eso claramente no describe el número total de tokens no autorizados acuñados, porque firmas de seguridad independientes observaron miles de millones. La lectura más razonable es que The Sandbox está usando "impacto" para describir la cantidad de valor legítimo afectado, en lugar de la cantidad de tokens falsos creados. La empresa todavía no ha reconciliado completamente esas cifras públicamente, así que los inversores deberían evitar tratar la afirmación del 0.01% como una medición de la actividad de acuñación del exploit.
Esa distinción importa porque los titulares pueden cambiar fácilmente de una mala interpretación a otra. Llamar a esto un robo de 49 mil millones de dólares sería incorrecto. Llamarlo un exploit trivial porque el proyecto afirma que el impacto fue inferior al 0.01% también pasaría por alto lo que realmente ocurrió.
El eslabón débil fue la capa entre cadenas
No se informó que SAND en sí mismo en Ethereum estuviera comprometido. El exploit se dirigió a la maquinaria que permite que las representaciones de SAND existan en otras redes. Ese es un patrón familiar en la seguridad cripto: la cadena o el token subyacente puede funcionar exactamente como fue diseñado, mientras que los permisos en un puente crean una superficie de ataque totalmente separada.
El problema técnico es especialmente importante porque el ataque implicó permisos delegados relacionados con LayerZero. Eso no significa automáticamente que LayerZero en sí estuviera comprometido. Los informes disponibles apuntan a permisos asociados con la implementación de OFT de SAND de The Sandbox. El post mortem final necesitará explicar con precisión dónde falló el control, cómo se obtuvo la autoridad delegada y por qué la ruta de acuñación lo aceptó.
Hasta que llegue ese informe, los traders deberían centrarse en los hechos que pueden establecerse: SAND no respaldado se acuñó en Base y BNB Smart Chain, las rutas del puente afectadas han sido deshabilitadas, se informó que SAND en Ethereum y Polygon estaba a salvo, y la asombrosa cifra de 49 mil millones de dólares mide el valor nominal teórico en lugar del dinero robado.
El exploit en última instancia podría demostrar pérdidas financieras directas modestas, pero el fallo de permisos no fue para nada modesto. Cuando un puente puede crear varias veces el suministro máximo de un token antes de que alguien presione el botón de detener, el análisis post mortem importa casi tanto como el plan de reembolso.
---------------
Autor: Cedric Holloway Redacción de Noticias en Nueva YorkBreaking Crypto News
Suscríbete a GCP en un lector