The Sandbox cho biết họ sẽ trực tiếp hoàn trả cho những người nắm giữ đủ điều kiện của SAND được bắc cầu sau một vụ khai thác xảy ra vào ngày 21/8 khiến các token dựa trên Ethereum bị rút khỏi một kho lưu trữ (vault) của cầu nối. Sự cố, nhắm vào hạ tầng cầu nối được kết nối với Base và BNB Smart Chain, đã dẫn đến việc mất 14,744 SAND—trị giá khoảng 700.000 USD tại thời điểm đó—khiến dự án phải vạch ra một kế hoạch hoàn trả có cấu trúc.
Trong một báo cáo hậu kiểm (post-mortem) được chia sẻ vào hôm thứ Năm, The Sandbox xác nhận rằng sẽ có khoản bồi thường theo tỷ lệ 1:1 cho những người dùng đã nắm giữ SAND được bắc cầu trên Base hoặc BNB Smart Chain trước cuộc tấn công. Công ty cho biết việc hoàn trả sẽ được chi trả từ quỹ dự trữ (treasury) của họ mà không phát hành thêm token mới, và các số dư bị ảnh hưởng sẽ được phân phối thông qua các sàn giao dịch đối với phần lớn người dùng đủ điều kiện.
Những điểm chính
The Sandbox sẽ hoàn trả 1:1 cho các holder đủ điều kiện đối với SAND đã được chuyển qua cầu từ Base và BNB Smart Chain bằng SAND dựa trên Ethereum.
Các khoản hoàn trả dự kiến bắt đầu trong vòng hai tuần, với thời hạn nộp yêu cầu kéo dài thêm hai tuần nữa.
Hơn 72% số dư đủ điều kiện được nắm giữ trên các sàn giao dịch tập trung, và theo báo cáo, các sàn này sẽ phân phối tiền bồi thường trực tiếp cho các khách hàng bị ảnh hưởng.
Theo The Sandbox, khoảng 14,7 triệu SAND đã bị rút cạn—xấp xỉ 0,5% tổng cung tối đa 3 tỷ của token—trong khi các token không được hậu thuẫn được đúc ra đã bị cô lập.
Các hợp đồng cầu nối bị xâm phạm sẽ được ngừng vĩnh viễn, và các cầu nối trong tương lai dự kiến sẽ sử dụng các hợp đồng mới được triển khai.
Kế hoạch hoàn trả cho các holder SAND đã được chuyển qua cầu
Nỗ lực hoàn trả của The Sandbox nhắm đến những người đã nắm giữ SAND và được chuyển qua cầu sang Base hoặc BNB Smart Chain trước vụ khai thác cầu nối ngày 21/8. Công ty cho biết người nộp yêu cầu sẽ nhận được một lượng SAND dựa trên Ethereum bằng nhau (thay vì token của một chuỗi khác), sử dụng các khoản tiền được rút từ kho quỹ (treasury) của dự án. Dự án cũng nhấn mạnh rằng dự án sẽ không đúc thêm token để tài trợ cho các khoản hoàn trả.
Dựa trên lời giải thích của công ty, quy trình yêu cầu dự kiến sẽ mở trong vòng hai tuần và sau đó được mở thêm hai tuần nữa. Điều này tạo ra một khung thời gian rõ ràng để người dùng đủ điều kiện xác minh quyền sở hữu và nộp yêu cầu khi cần, trong khi khách hàng trên sàn có thể được xử lý tự động tùy thuộc vào nền tảng.
Nguồn gốc các khoản lỗ đến từ đâu, và kẻ tấn công đã làm gì
The Sandbox cho biết kẻ tấn công đã khai thác một lỗ hổng cấu hình trong các hợp đồng cầu nối (bridge) của SAND trên Base và BNB Chain. Trong tài khoản của công ty, vấn đề này đã cho phép kẻ tấn công giành quyền kiểm soát việc xác minh tin nhắn của cầu nối—qua đó cuối cùng cho phép đúc các token không được hậu thuẫn gắn với quy trình cầu nối bị khai thác.
Dự án xác nhận rằng khoảng 14,744 triệu SAND đã bị rút cạn từ kho tiền (vault) trên Ethereum kết nối với cầu nối. Dự án cũng cho biết hoạt động cầu nối bị xâm phạm đã dẫn đến việc tạo ra hơn 339 nghìn tỷ SAND không được hậu thuẫn trên hai mạng lưới mục tiêu. Tuy nhiên, The Sandbox cho biết các token đó đã bị cô lập và không thể được chuyển qua cầu hoặc đổi thưởng.
Điều quan trọng đối với các holder là The Sandbox khẳng định SAND trên Ethereum và Polygon không bị ảnh hưởng bởi vụ khai thác. Điều đó có nghĩa là tổng cung token cốt lõi trên các mạng lưới này không chịu tác động tức thời tương tự như các tài sản đã được chuyển qua cầu gắn với Base và BNB Chain.
Cô lập các token không được hậu thuẫn và ngừng các hợp đồng bị xâm phạm
Ngoài việc hoàn trả, phần tường trình sau sự cố của công ty tập trung vào việc kiểm soát và phòng ngừa. The Sandbox cho biết các hợp đồng cầu nối được dùng trong cấu hình bị xâm phạm sẽ được ngừng vĩnh viễn. Bất kỳ hoạt động chuyển qua cầu giữa các mạng lưới nào sau đó sẽ được xử lý thông qua các hợp đồng mới được triển khai, nhằm loại bỏ điểm yếu về xác minh đã bị khai thác.
Phần mô tả của dự án cho thấy rằng dù kẻ tấn công đã thành công trong việc đúc các token không được hậu thuẫn trong quá trình vận hành cầu nối, The Sandbox đã thiết kế—hoặc có thể thực thi—các giới hạn ngăn các token đó chuyển sang trạng thái có thể đổi thưởng hoặc đã được chuyển qua cầu. Điều này quan trọng đối với nhà đầu tư và nhà giao dịch: nó làm giảm khả năng xảy ra cú sốc nguồn cung token trên diện rộng đối với tất cả các mạng lưới được hỗ trợ, ngay cả khi sự kiện đã tạo ra một lượng lớn token không được hậu thuẫn trong cuộc tấn công.
Sàn giao dịch để phân phối phần lớn tiền bồi thường
The Sandbox cũng cung cấp các chi tiết vận hành về cách tiền bồi thường sẽ đến tay người dùng. Theo công ty, hơn 72% số dư đủ điều kiện được nắm giữ trên các sàn giao dịch tập trung. Với nhóm khách hàng này, các sàn được kỳ vọng sẽ phân phối tiền bồi thường trực tiếp.
Cách tiếp cận này có thể giảm ma sát cho đa số người dùng bị ảnh hưởng bằng cách hạn chế nhu cầu thực hiện yêu cầu riêng lẻ. Tuy nhiên, kế hoạch được dự án nêu ra cho thấy sẽ tồn tại một quy trình yêu cầu—nghĩa là những người dùng không lưu giữ trên sàn (hoặc không nằm trong diện được các sàn phân phối) có thể cần nộp đơn trong giai đoạn mở yêu cầu.
Giao dịch token và phản ứng của thị trường
Tại thời điểm công bố, SAND đang giao dịch quanh mức 0,04 USD, theo CoinGecko, giảm khoảng 10,4% trong bảy ngày trước đó. Mức giảm giá phản ánh điều kiện chung của thị trường và việc các tiêu đề liên quan đến bảo mật cầu nối có thể nhanh chóng lan sang tâm lý, ngay cả khi dự án cho biết việc nắm giữ trên Ethereum và Polygon không bị ảnh hưởng.
Đối với những người tham gia thị trường, cam kết của The Sandbox về hoàn trả 1:1 và mốc thời gian nộp yêu cầu có thể giúp làm rõ rủi ro đối với các holder của tài sản đã được chuyển qua cầu. Tuy nhiên, tác động về niềm tin trong dài hạn có lẽ sẽ phụ thuộc vào việc quy trình yêu cầu diễn ra suôn sẻ đến mức nào, và liệu việc theo dõi các bề mặt liên quan đến cầu nối còn lại có phát hiện thêm vấn đề gì không.
Người đọc nên theo dõi thời điểm bắt đầu giai đoạn nộp yêu cầu và cách các sàn xử lý việc hoàn trả cho khách hàng đang nắm giữ SAND đã được chuyển qua cầu. Điều quan trọng không kém sẽ là tiến độ của The Sandbox trong việc triển khai các hợp đồng cầu nối thay thế và chứng minh rằng các cấu hình đã bị ngừng không thể bị khai thác lại thông qua các tuyến cầu nối hoặc tích hợp mới.
Bài viết này ban đầu được đăng với tiêu đề The Sandbox Offers 1:1 Refund After $700K Bridge Exploit trên Crypto Breaking News – nguồn tin cậy của bạn về tin tức crypto, tin tức Bitcoin và cập nhật về blockchain.