Пользователи The Sandbox, пострадавшие в атаке 21 августа, получили хорошие новости сегодня в начале дня, когда проект обязался реализовать план компенсации 1:1, который будет выплачен в Ethereum-версии SAND.
Согласно объявлению The Sandbox, оно откроет окно для подачи заявок на компенсацию на срок две недели в течение двух недель после своего раскрытия 27 августа.
План компенсаций распространяется только на токенхолдеров, которые доказуемо владели размещёнными (bridged) токенами SAND на Base и BNB Smart Chain (BSC) на момент эксплуатации. В совокупности эта группа держателей понесла потери примерно в 697 000 долларов.
Когда держатели SAND получат компенсацию?
По словам The Sandbox, затронутым пользователям придется ждать как минимум месяц, прежде чем они смогут фактически получить свою компенсацию.
Процесс подачи заявления откроется в течение двух недель после 27 августа.
Окно для подачи заявлений будет открыто еще в течение двух недель.
Возврат будет отправлен в виде SAND на базе Ethereum; право на него будут иметь только держатели SAND, переведенного (bridged) в Base и BSC на момент взлома.
Держатели версии SAND для Ethereum полностью не пострадали: предложение в сети осталось на уровне 3 миллиардов токенов. Также Polygon-версия SAND не имела подверженности, потому что она работает через отдельный мост.
«Баланс на обеих цепочках сохранен, и никаких действий со стороны пользователя не требуется», — уточнила The Sandbox в своем постмортеме.
The Sandbox возлагает вину за эксплойт на токен-контракты
The Sandbox заявила, что уязвимость не была связана с какими-либо ключами, которые она контролирует на своей стороне: вместо этого указали на смарт-контракты токена SAND в Base и BSC.
Согласно постмортему, токен-контракт был настроен так, чтобы одновременно выступать зарегистрированным приложением моста. Проблема заключалась в том, что слой обмена сообщениями интерпретировал любые входящие данные из этого направления как прямые инструкции от самой The Sandbox.
Эта настройка должна была избавить пользователей от дополнительных транзакций. Вместо этого злоумышленники использовали лазейку, чтобы нанести почти $1,49 млн совокупного экономического ущерба в четыре шага.
Сначала они использовали функцию вызова (call), чтобы зарегистрировать свой собственный адрес как уполномоченного администратора.
Получив права администратора, они переписали настройки верификации так, что одного подтверждения с их собственного адреса было достаточно, чтобы подтвердить сообщение моста.
Затем они отправили поддельные сообщения о депозите, которые отчеканили SAND на Base и BSC на основе депозитов в Ethereum, которых на самом деле не было.
Наконец, они продали часть поддельных токенов за эфир и использовали функцию обратного моста, чтобы вывести реальный SAND из хранилища Ethereum.
Форензика оценила прямое изъятие средств из хранилища в 14 742 341,84 SAND. Злоумышленник ушел примерно с $987 000.
Мост остается закрытым
The Sandbox закрыла мост на уровне контракта по всем трем цепочкам 22 августа в 05:26 UTC и заявляет, что с того дня после 02:21 UTC из него не вышел ни один SAND. Ее первое публичное уведомление, опубликованное 22 августа, назвало уязвимость «полностью локализованной» и оценило ущерб как менее 0,01% от общего предложения SAND.
Компания не питала надежд на повторное открытие моста в промежутке. Поскольку затронутые контракты навсегда разрешают приложению перенастраиваться самостоятельно, контроль над ролями делегата «оспорим навсегда», и любую попытку вернуть их можно будет отменить кем угодно, кто готов заплатить за газ.
В ее формулировке: «Не существует конфигурации этих контрактов, при которой повторное открытие моста было бы безопасным».
Инцидент впервые всплыл на фоне рыночной паники. Cryptopolitan сообщило 22 августа, что ончейн-компания Lookonchain обнаружила подозрительную «атаку с бесконечным минтингом» и оценила, что было создано более 500 миллионов SAND.
Южнокорейские биржи Upbit и Bithumb ограничили депозиты и выводы SAND и предупредили трейдеров о волатильности. SAND торговался возле $0,042 при рыночной капитализации около $123 млн — по данным CoinMarketCap.
Не просто читайте новости про крипто. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.