The Sandbox відшкодує 1:1 містковий SAND після експлойту на 14,74 млн токенів

The Sandbox відшкодує правомірним власникам місткового SAND у мережах Base та BNB Chain у співвідношенні 1:1, надавши SAND на базі Ethereum. Таке рішення проєкт виклав у постмортемі від 27 серпня після інциденту 22 серпня, коли з його Ethereum-сховища було виведено 14,742,341.84 SAND. Компенсація стосуватиметься лише легітимно переміщених через міст балансів, зафіксованих у знімку стану до інциденту, а не токенів, створених унаслідок несанкціонованого мінтингу. The Sandbox профінансує заміну з власної скарбниці та наголосив, що нові SAND не випускатимуться — максимальна фіксована пропозиція токена на рівні 3 млрд залишиться без змін. Понад 72% придатних до відшкодування балансів зосереджені на двох централізованих біржах; очікується, що вони розподілять замінні токени безпосередньо постраждалим клієнтам. Інші кваліфіковані власники зможуть подати заявки через портал claims: The Sandbox планує відкрити його протягом двох тижнів після публікації постмортему й тримати активним ще два тижні. Причина інциденту, за даними The Sandbox, пов'язана з конфігураційною вадою: у Base та BNB Chain контракт токена SAND також виконував роль інтеграції мосту LayerZero. Одна з конфігураційних функцій дозволила атакувальнику зареєструватися єдиним верифікатором вхідних повідомлень мосту, що дало змогу надсилати підроблені повідомлення й мінтити SAND без забезпечення в обох мережах. Виведені 14,74 млн SAND зі сховища Ethereum становили близько 0,5% від максимального обсягу пропозиції. Остаточна оцінка виявилася суттєво вищою за первинну — менше ніж 0,01%, — оскільки на старті стримування інциденту проєкт бачив лише те, що можна було спостерігати в перші години. Компанія повідомила, що SAND у мережах Ethereum і Polygon не постраждав. Додаткові незабезпечені токени, змінчені в Base та BNB Chain, були ізольовані: їх неможливо перемостити в Ethereum або погасити проти сховища. Міст у двох уражених мережах і надалі лишається вимкненим. Щодо коштів атакувальника The Sandbox заявив, що передав адресу гаманця до TRM Labs і Chainalysis для маркування як викрадених активів, а також співпрацював із централізованими біржами, щоб заблокувати депозити та виведення в уражених мережах. Скомпрометовані мостові контракти в Base та BNB Chain буде назавжди виведено з експлуатації; будь-який майбутній міст до цих мереж потребуватиме розгортання нових контрактів.