Los usuarios de The Sandbox afectados en el ataque del 21 de agosto recibieron buenas noticias temprano hoy, cuando el proyecto se comprometió a un plan de compensación 1:1 que se pagará en la versión de Ethereum de SAND.
Según el anuncio de The Sandbox, abrirá una ventana de reclamación de compensación de dos semanas dentro de las dos semanas posteriores a su divulgación del 27 de agosto.
El plan de compensación solo cubre a los titulares de tokens que demostrablemente tenían SAND puenteado en Base y BNB Smart Chain (BSC) en el momento del exploit. En conjunto, ese grupo de titulares perdió aproximadamente 697.000 dólares.
¿Cuándo recibirán la compensación los titulares de SAND?
Según The Sandbox, los usuarios afectados tendrán que esperar al menos un mes para recibir realmente su compensación.
El proceso de reclamación se abrirá dentro de dos semanas a partir del 27 de agosto.
La ventana de reclamaciones estará abierta durante dos semanas más.
El reembolso se enviará como SAND basado en Ethereum, y solo serán elegibles los titulares de SAND puenteado en Base y BSC en el momento de la brecha.
Los titulares de la versión de Ethereum de SAND quedaron completamente a salvo en el incidente, con el suministro de la cadena aún en 3.000 millones de tokens. El SAND basado en Polygon tampoco tuvo exposición, porque funciona a través de un puente separado.
“Los saldos en ambas cadenas están intactos y no se requiere ninguna acción del usuario”, aclaró The Sandbox en su informe posterior al incidente.
The Sandbox culpa del exploit a los contratos de tokens
The Sandbox dijo que la falla no provino de ninguna clave que controle por su cuenta, señalando en cambio los contratos del token SAND en Base y BSC.
Según el informe posterior al incidente, el contrato de tokens se configuró para funcionar también como la aplicación registrada del puente. El problema fue que la capa de mensajería interpretó cualquier entrada desde esa dirección como instrucciones directas de The Sandbox.
Se suponía que esa configuración ahorraría a los usuarios transacciones extra. En cambio, los atacantes explotaron el resquicio para causar un daño económico total de casi 1,49 millones de dólares en cuatro pasos.
Primero usaron la función de llamada para registrar su propia dirección como el administrador autorizado.
Con derechos de administrador, reescribieron la configuración de verificación para que con una sola aprobación desde su propia dirección bastara para confirmar un mensaje del puente.
Luego enviaron mensajes falsos de depósito, que acuñaron SAND en Base y BSC contra depósitos de Ethereum que nunca ocurrieron.
Finalmente, vendieron algunos de los tokens falsos por ether y usaron la función de puente inverso para sacar SAND real del “vault” de Ethereum.
Las investigaciones estimaron el retiro directo del “vault” en 14.742.341,84 SAND. El atacante se fue con aproximadamente 987.000 dólares.
El puente permanece cerrado
The Sandbox cerró el puente a nivel de contrato en las tres cadenas el 22 de agosto a las 05:26 UTC, y dice que desde entonces no ha salido ningún SAND desde las 02:21 UTC de ese día. Su primer aviso público, publicado el 22 de agosto, calificó la vulnerabilidad como “totalmente contenida” y situó el impacto en menos del 0,01% del suministro total de SAND.
La empresa no alimentó ninguna esperanza de reabrir el puente en el interín. Como los contratos afectados permiten permanentemente que la aplicación se reconfigure, el control sobre los roles delegados es “disputable para siempre”, y cualquier intento de recuperarlos podría deshacerse por cualquiera que esté dispuesto a pagar el gas.
En sus palabras, “No existe ninguna configuración de estos contratos en la que reabrir el puente sea seguro”.
El episodio salió a la luz primero como una alarma en el mercado. Cryptopolitan informó el 22 de agosto que la empresa on-chain Lookonchain marcó un supuesto “ataque de acuñación infinita” y estimó que se habían creado más de 500 millones de SAND.
Las bolsas surcoreanas Upbit y Bithumb restringieron los depósitos y retiros de SAND y advirtieron sobre la volatilidad. SAND se negociaba cerca de 0,042 dólares con una capitalización de mercado de alrededor de 123 millones de dólares, según CoinMarketCap.
No te limites a leer noticias cripto. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.