The Sandbox объявила о полном возмещении средств пользователям, пострадавшим при эксплуатации уязвимости кроссчейн-моста. В результате атаки из хранилища на Ethereum было выведено 14 742 341,84 SAND, что на момент инцидента оценивалось примерно в $697 тыс. — по другим данным, около $700 тыс.
Компенсация будет проведена в сети Ethereum: держатели, у которых на момент атаки были легитимные SAND-балансы в сетях Base и BNB Smart Chain, получат токены в соотношении 1:1. Выплаты профинансируют из казны The Sandbox без дополнительной эмиссии, поэтому максимальный и оборотный объем SAND не изменится. По данным проекта, более 72% подлежащих компенсации балансов приходится на две централизованные биржи, которые распределят токены напрямую пострадавшим клиентам. Для остальных пользователей портал приема заявок откроется в течение двух недель после публикации отчета и будет доступен 14 дней.
Технический разбор показал, что атака использовала уязвимость функции approveAndCall в контрактах SAND на Base и BNB Smart Chain. Злоумышленник получил возможность выступать единственным верификатором входящих сообщений моста, изменил параметры проверки и санкционировал переводы собственной подписью. Это позволило выпустить необеспеченные токены на целевых сетях, а затем запустить обратный вывод средств из Ethereum-хранилища. По данным аналитиков PeckShield и Blockaid, номинальный объем необеспеченной эмиссии превысил 339 трлн SAND, однако реальный ущерб обеспеченным активам составил около 14,7 млн токенов — менее 0,5% максимального предложения в 3 млрд SAND.
Скомпрометированные контракты мостов на Base и BNB Smart Chain будут навсегда выведены из эксплуатации. Нативные токены SAND в сетях Ethereum и Polygon не пострадали, поскольку Polygon использует независимую архитектуру моста. На фоне инцидента южнокорейские биржи Upbit и Bithumb приостанавливали ввод и вывод SAND, а адреса злоумышленника переданы Chainalysis и TRM Labs для отслеживания. На момент публикации постмортема SAND торговался около $0,04, снизившись примерно на 10,4% за неделю.
