Sandbox Bridge-hack genererer 14,9 mia. SAND, mens Coinbase fjerner futures fra sin handelsliste

Sårbarhed rammer broer mellem Base og BSC

Sandbox, den metaverse-spilplatform, der står bag SAND-tokenet, indeholdt en sårbarhed, der påvirkede dens krydskæde-broer på Base og BNB Smart Chain (BSC). En angriber udnyttede broernes udstedelsesmekanisme til at skabe SAND-tokens uden reel dækning på begge netværk. The Sandbox deaktiverede broforbindelserne på Base og BSC, så snart udnyttelsen blev opdaget, hvilket afskar angriberens mulighed for at flytte de fabrikerede tokens videre.

Sandbox’ broinfrastruktur fungerer normalt ved at låse SAND på én kæde, typisk Ethereum, og udstede et tilsvarende beløb med fuld dækning på destinationsnetværket. Det var netop denne 1:1-dækningsmodel, der brød sammen i denne hændelse, hvilket gjorde det muligt at udstede tokens på Base og BSC uden en tilsvarende låsning på kildekæden.

En uregelmæssighed på 14,9 milliarder tokens

Peckshield identificerede ca. 14,9 milliarder SAND-tokens uden sikkerhed, der var udstedt på to adresser knyttet til udnyttelsen. Omfanget af dette tal er bemærkelsesværdigt, da SAND's legitime samlede udbud er begrænset til 3 milliarder tokens, hvilket betyder, at det udstedte beløb var næsten fem gange større end alle ægte SAND-tokens, der nogensinde har eksisteret eller vil eksistere.

Denne uoverensstemmelse er almindelig i bridge-udnyttelser, hvor en angriber manipulerer en smartkontrakts mint-funktion i stedet for faktisk at stjæle låst sikkerhed. Lignende udstedelsesbaserede angreb har ramt andre protokoller i løbet af året, herunder et bridge-angreb, der gjorde det muligt for en angriber at udstede 1 milliard uautoriserede DOT-tokens på Polkadots bridge tidligere i 2026, samt en mindre hændelse, hvor der blev oprettet ca. 13,76 millioner ALPH-tokens uden dækning på Alephium-bridgen.

I begge tilfælde havde de fabrikerede tokens ingen reel værdi og kunne neutraliseres, så snart den berørte kæde frøs den udnyttede kontrakt.

The Sandbox oplyste, at hændelsen berørte mindre end 0,01 % af SAND's samlede udbud målt i ægte sikkerhedsstillelse, der var i fare. SAND, der var opbevaret på Ethereum og Polygon, brugernes tegnebøger på tværs af økosystemet samt de Ethereum-låste aktiver, der understøtter tokenet, forblev uberørte under hele udnyttelsen, oplyste selskabet.

Platformen er nu i gang med at udarbejde en kompensationsplan for berettigede likviditetsudbydere, der havde positioner, der blev påvirket af den uunderstøttede udstedelse, og den har rådet brugerne til ikke at handle med SAND på Base eller BSC, indtil broerne er genoprettet.

En del af et større sikkerhedsproblem med broer

Udnyttelser af broer har medført tab på over 320 millioner dollars i kryptobranchen i løbet af første halvår, da angribere i stigende grad er begyndt at målrette sig mod de smarte kontrakter, der forbinder separate blockchains, frem for individuelle protokoller. Bitcoin.com News har sporet et lignende mønster i de seneste måneder, herunder udnyttelsen af Gravity Bridge, hvor en hacker tappede 5,4 millioner dollars og dirigerede midlerne gennem Binance, inden sporet blev koldt.

Desuden er det værd at nævne, at SAND allerede stod under pres uafhængigt af sikkerhedshullet, idet tokenet handlede tæt på 0,039 dollar i denne uge, og Coinbase har annonceret sine planer om at afnotere ti evige futureskontrakter, herunder SAND, med virkning fra den 26. august som led i en bredere gennemgang af handelsvolumen og likviditet på sine derivatmarkeder.

Åbne positioner vil på det tidspunkt blive afregnet automatisk, hvilket udgør en yderligere kilde til kortfristet volatilitet ud over bridge-hændelsen.

Det næste skridt for The Sandbox er en efteranalyse af, hvordan broens kontrolmekanismer svigtede, samt en sikkerhedsrevision, inden broforbindelsen mellem Base og BSC genåbnes.