Sandbox Bridge -hakkerointi tuotti 14,9 miljardia SAND-kolikkoa, kun taas Coinbase poisti futuurit listalta

Hyökkäys kohdistui Base- ja BSC-siltoihin

SAND-tokenin takana oleva metaversipelialusta The Sandbox sisälsi haavoittuvuuden, joka vaikutti sen ketjujen välisiin siltoihin Base- ja BNB Smart Chain (BSC) -verkostoissa. Hyökkääjä hyödynsi siltojen luontimekanismia luodakseen molemmissa verkostoissa SAND-tokeneita, joilla ei ollut todellista vakuutta. The Sandbox poisti siltojen käytön Base- ja BSC-verkostoissa heti, kun haavoittuvuus havaittiin, estäen hyökkääjää siirtämästä väärennettyjä tokeneita eteenpäin.

Sandboxin sillainfrastruktuuri toimii normaalisti siten, että SAND-tokenit lukitaan yhteen ketjuun, yleensä Ethereumiin, ja luodaan vastaava, täysin katettu määrä kohdeverkossa. Juuri tämä 1:1-katemalli petti tässä tapauksessa, jolloin tokeneita voitiin luoda Base- ja BSC-verkkoihin ilman vastaavaa lukitusta lähdeketjussa.

14,9 miljardin tokenin poikkeama

Peckshield tunnisti noin 14,9 miljardia vakuudettomia SAND-tokenia, jotka oli lyöty kahdessa haavoittuvuuteen liittyvässä osoitteessa. Luvun suuruus on silmiinpistävää, kun otetaan huomioon, että SANDin laillinen kokonaistarjonta on rajattu 3 miljardiin tokeneihin, mikä tarkoittaa, että lyöty määrä oli lähes viisi kertaa suurempi kuin kaikkien koskaan olemassa olleiden tai tulevien aitojen SAND-tokenien yhteismäärä.

Tällainen epäsuhta on yleistä silta-hyökkäyksissä, joissa hyökkääjä manipuloi älykkään sopimuksen luontitoimintoa sen sijaan, että varastaisi lukittua vakuutta. Samanlaisia luontitoimintoon perustuvia hyökkäyksiä on kohdistunut muihin protokolliin vuoden aikana, mukaan lukien sillan haavoittuvuuden hyödyntäminen, jonka avulla hyökkääjä loi miljardi luvatonta DOT-tokenia Polkadotin sillalla aiemmin vuonna 2026, sekä pienempi tapaus, jossa Alephium-sillalla luotiin noin 13,76 miljoonaa vakuudettomia ALPH-tokenia.

Kummassakin tapauksessa väärennetyillä tokeneilla ei ollut todellista arvoa, ja ne voitiin neutraloida, kun kyseinen ketju jäädytti hyödynnetyn sopimuksen.

The Sandboxin mukaan tapaus vaikutti alle 0,01 %:iin SAND-tokenien kokonaistarjonnasta, kun tarkastellaan vaarassa ollutta todellista vakuutta. Yhtiön mukaan Ethereumissa ja Polygonissa pidetyt SAND-tokenit, ekosysteemin käyttäjien lompakot sekä tokenia tukevat Ethereumiin lukitut varat säilyivät koskemattomina koko hyökkäyksen ajan.

Alusta valmistelee parhaillaan korvaussuunnitelmaa niille kelpoisille likviditeetin tarjoajille, joilla oli asemia, joihin vakuudettomat tokenien lyönnit vaikuttivat, ja se on kehottanut käyttäjiä olemaan käymättä kauppaa SAND-tokeneilla Base- tai BSC-ketjuissa, kunnes sillat on palautettu toimintakuntoon.

Osa laajemmasta siltojen turvallisuusongelmasta

Siltojen hyökkäykset ovat aiheuttaneet kryptoteollisuudelle yli 320 miljoonan dollarin tappiot vuoden ensimmäisellä puoliskolla, sillä hyökkääjät ovat yhä useammin alkaneet kohdistaa hyökkäyksensä erillisiä lohkoketjuja yhdistäviin älykkäisiin sopimuksiin yksittäisten protokollien sijaan. Bitcoin.com News on seurannut samanlaista kehityskulkua viime kuukausina, mukaan lukien Gravity Bridge -hyökkäys, jossa hakkeri siirsi 5,4 miljoonaa dollaria Binancen kautta ennen kuin jäljet katosivat.

Lisäksi on syytä mainita, että SAND oli jo hyökkäyksestä riippumatta paineen alla: sen tokenin kurssi oli tällä viikolla lähellä 0,039 dollaria, ja Coinbase ilmoitti aikovansa poistaa listalta kymmenen ikuista futuurisopimusta, mukaan lukien SAND, 26. elokuuta alkaen osana laajempaa johdannaismarkkinoiden kaupankäyntivolyymin ja likviditeetin tarkastelua.

Avoimet positiot selvitetään tuolloin automaattisesti, mikä lisää bridge-tapauksen lisäksi toisen lähiajan volatiliteetin lähteen.

The Sandboxin seuraava askel on selvittää, miksi sillan lyöntivalvonta petti, sekä suorittaa tietoturvatarkastus ennen kuin Base- ja BSC-sillat otetaan uudelleen käyttöön.