Уязвимость моста The Sandbox: хакеры отчеканили 14,9 млрд SAND, Coinbase исключает фьючерсы

Команда The Sandbox сообщила об обнаружении и локализации уязвимости в кроссчейн-бридже SAND в сетях Base и BNB Smart Chain (BSC). По данным компании Blockaid, которая занимается безопасностью, хакеры получили контроль над делегированными разрешениями LayerZero, связанными с системой OFT SAND на Base. Это права доступа, позволяющие программе или человеку действовать от имени другого участника системы. Злоумышленники использовали функцию approveAndCall для обхода стандартных механизмов контроля.

Изначально хакеры создали около 500 млн токенов SAND — это почти 17% от общего предложения в 3 млрд токенов. Позже аналитики PeckShield отследили два адреса, связанных с атакой, на которых появилось 14,9 млрд SAND — почти в пять раз больше легитимного общего предложения токена. В Blockaid сообщили, что злоумышленники отчеканили токены SAND на $49 млрд ≈ 149 млрд BYN за более чем 400 транзакций.

Совокупное предложение оригинального актива на Ethereum составляет 3 млрд SAND общей стоимостью около $140 млн ≈ 424 млн BYN. Разработчики заблокировали кроссчейн-операции и изолировали токены злоумышленника на первоначальных блокчейнах.

The Sandbox заявила, что ни один пользовательский кошелек не был скомпрометирован. Ущерб, по оценке команды, составил менее 0,01% от общего предложения SAND. Токены в сетях Ethereum и Polygon не затронуты.

Что делает The Sandbox

Компания приостановила работу моста в сетях Base и BSC и призвала не покупать, не продавать и не торговать SAND в этих сетях, поскольку ликвидность там скомпрометирована. К настоящему моменту уязвимость устранена, работа моста восстановлена.

Южнокорейские биржи Upbit и Bithumb выпустили предупреждения для трейдеров о возможных резких изменениях цены SAND из-за инцидента. Платформа Bithumb приостановила депозиты и выводы в токенах SAND, а площадка Upbit опубликовала предупреждение для инвесторов. Реальный ущерб оказался скромнее: Эфириум-адаптер OFT потерял около 14,75 млн SAND, стоивших на тот момент около $675 000 ≈ 2,05 млн BYN. Из украденных средств конвертировано около 79,74 ETH. Аналитики по блокчейн-безопасности установили причину уязвимости смарт-контракта — взлом делегированных разрешений LayerZero.

Проект готовит резервную копию данных на момент до инцидента и план компенсации для пользователей пострадавших пулов ликвидности (LP). Биржа Coinbase объявила об исключении фьючерсов на SAND из листинга с 26 августа. Полный технический отчет команда пообещала опубликовать после завершения расследования. За сутки курс SAND упал на 2,6%, до $0,04661, при рыночной капитализации $136,6 млн ≈ 414 млн BYN. Суточный объем торгов токеном вырос на 239,5%, до $88,3 млн ≈ 268 млн BYN.