פלטפורמת המטאוורס The Sandbox אישרה לאחרונה כי גשר שנוצל אפשר לתוקף להנפיק SAND ללא גיבוי ב-Base וב-BNB Smart Chain, מה שהוביל להשבתה מיידית.
פריצת גשר Sandbox מטביעה 14.9 מיליארד SAND בזמן ש-Coinbase מסירה את החוזים העתידיים מהרשימה
נכתב ע"י
שתף
נקודות עיקריות
- Peckshield סימנה כ-14.9 מיליארד SAND ללא גיבוי שהונפקו בשתי כתובות ב-21 באוגוסט.
- The Sandbox השביתה לאחר מכן את הגישור ל-Base ול-BSC, ובכך הגנה על מחזיקי SAND המבוססים על את’ריום ופוליגון.
- The Sandbox מכינה פיצוי ל-LP בזמן ש-Coinbase מתכננת להסיר מרשימה חוזים עתידיים על SAND ב-26 באוגוסט.
ניצול פוגע בגשרים של Base ו-BSC
Sandbox, פלטפורמת משחקי המטאוורס שמאחורי טוקן SAND, בלמה פגיעות שהשפיעה על גשרי הקרוס-צ’יין שלה ב-Base וב-BNB Smart Chain (BSC). תוקף ניצל את מנגנון ההנפקה (minting) של הגשרים כדי ליצור טוקני SAND ללא גיבוי אמיתי בשתי הרשתות. The Sandbox השביתה את הגישור ב-Base וב-BSC מיד עם גילוי הניצול, ובכך חסמה את יכולתו של התוקף להעביר את הטוקנים המפוברקים הלאה.
תשתית הגשר של The Sandbox בדרך כלל פועלת באמצעות נעילת SAND בשרשרת אחת, לרוב את’ריום, והנפקת כמות מקבילה ובגיבוי מלא ברשת היעד. מודל הגיבוי 1:1 הוא זה שקרס באירוע הזה, ואפשר הנפקת טוקנים ב-Base וב-BSC ללא נעילה תואמת בשרשרת המקור.
אנומליה של 14.9 מיליארד טוקנים
Peckshield זיהתה כ-14.9 מיליארד SAND ללא גיבוי שהונפקו בשתי כתובות הקשורות לניצול. היקף המספר הזה בולט לנוכח העובדה שהיצע ה-SAND הלגיטימי מוגבל ל-3 מיליארד טוקנים, כלומר הכמות שהונפקה הייתה כמעט פי חמישה מכל טוקן SAND אמיתי שאי פעם התקיים או יתקיים.
הפער הזה נפוץ בניצולי גשרים, שבהם תוקף מבצע מניפולציה בפונקציית ההנפקה (mint) של חוזה חכם במקום לגנוב בפועל בטוחות נעולות. מתקפות דומות המבוססות על הנפקה פגעו בפרוטוקולים אחרים לאורך השנה, כולל ניצול גשר שאפשר לתוקף להנפיק מיליארד DOT לא מורשים בגשר של Polkadot מוקדם יותר ב-2026, ואירוע קטן יותר שבו נוצרו כ-13.76 מיליון טוקני ALPH ללא גיבוי בגשר Alephium.
בכל מקרה, הטוקנים המפוברקים לא נשאו ערך אמיתי וניתן היה לנטרל אותם לאחר שהשרשרת הנפגעת הקפיאה את החוזה שנוצל.
The Sandbox אמרה כי האירוע השפיע על פחות מ-0.01% מהיצע ה-SAND הכולל במונחי גיבוי אמיתי שהיה בסיכון. לדבריה, SAND המוחזק באת’ריום ובפוליגון, ארנקי משתמשים ברחבי האקוסיסטם, והנכסים הנעולים באת’ריום שמגבים את הטוקן נותרו ללא פגיעה לאורך כל הניצול.
הפלטפורמה כעת מכינה תוכנית פיצוי לספקי נזילות זכאים שהחזיקו פוזיציות שנפגעו מההנפקה ללא גיבוי, והיא ייעצה למשתמשים שלא לסחור ב-SAND ב-Base או ב-BSC עד להשבת הגשרים.
חלק מבעיה רחבה יותר באבטחת גשרים
ניצולי גשרים חצו את רף 320 מיליון הדולר בהפסדים ברחבי תעשיית הקריפטו במחצית הראשונה של השנה, כאשר תוקפים החלו יותר ויותר למקד את החוזים החכמים שמחברים בין בלוקצ’יינים נפרדים ולא פרוטוקולים בודדים. Bitcoin.com News עקבה אחר דפוס דומה בחודשים האחרונים, כולל ניצול Gravity Bridge שבו האקר משך 5.4 מיליון דולר והעביר את הכספים דרך Binance לפני שהעקבות התקררו.
בנוסף, ראוי לציין כי SAND כבר התמודדה עם לחץ שאינו תלוי בניצול, כאשר הטוקן נסחר סביב 0.039 דולר נכון לשבוע זה, ו-Coinbase הכריזה על תוכניותיה להסיר מרשימה עשרה חוזים עתידיים נצחיים, כולל SAND, החל מ-26 באוגוסט, כחלק מסקירה רחבה יותר של נפח המסחר והנזילות בשווקי הנגזרים שלה.
פוזיציות פתוחות יוסדרו אוטומטית באותה נקודה, מה שמוסיף מקור שני לתנודתיות בטווח הקצר מעבר לאירוע הגשר.
השלב הבא עבור The Sandbox הוא דוח פוסט-מורטם על האופן שבו כשלו בקרות ההנפקה של הגשר וביקורת אבטחה לפני שהגישור ב-Base וב-BSC יופעל מחדש.
מאמר זה תורגם מאנגלית באמצעות בינה מלאכותית. הגרסה המקורית באנגלית היא המקור הקובע; תרגומים אוטומטיים עשויים להכיל אי-דיוקים, במיוחד במונחים משפטיים ורגולטוריים.
