A Sandbox Bridge-támadás 14,9 milliárd SAND-ot generált, miközben a Coinbase törölte a határidős ügyleteket a listájáról

A sebezhetőség a Base és a BSC hídjait érintette

A SAND token mögött álló metaverse játékplatform, a Sandbox biztonsági rést tartalmazott, amely a Base és a BNB Smart Chain (BSC) hálózatokon működő keresztlánc-hídjait érintette. Egy támadó kihasználta a hidak kibocsátási mechanizmusát, hogy mindkét hálózaton valódi fedezet nélküli SAND tokeneket hozzon létre. A Sandbox a sebezhetőség észlelése után azonnal letiltotta a hídműködést a Base-en és a BSC-n, így megakadályozva, hogy a támadó tovább mozgassa a hamis tokeneket.

A Sandbox hídinfrastruktúrája általában úgy működik, hogy a SAND-ot egy láncon – jellemzően az Ethereumon – zárolja, majd a célhálózaton egy azzal egyenértékű, teljes mértékben fedezett mennyiséget bocsát ki. Ez az 1:1-es fedezeti modell omlott össze ebben az esetben, ami lehetővé tette, hogy a Base-en és a BSC-n tokeneket bocsássanak ki anélkül, hogy a forrásláncon megfelelő zárolás történt volna.

14,9 milliárd tokenes rendellenesség

A Peckshield körülbelül 14,9 milliárd fedezet nélküli SAND-ot azonosított, amelyeket a sebezhetőséghez kapcsolódó két címen vertek ki. Ez a szám rendkívül nagy, tekintve, hogy a SAND legális teljes kínálata 3 milliárd tokenre van korlátozva, ami azt jelenti, hogy a kibocsátott mennyiség közel ötszöröse volt minden valós SAND-tokennak, amely valaha is létezett vagy létezni fog.

Az ilyen eltérés gyakori a hídkizsákmányolásoknál, ahol a támadó a zárva tartott fedezet tényleges ellopása helyett a smart contract kibocsátási funkcióját manipulálja. Hasonló, kibocsátáson alapuló támadások egész évben sújtották más protokollokat is, beleértve egy hídkizsákmányolást, amelynek során egy támadó 2026 elején 1 milliárd jogosulatlan DOT-tokent bocsátott ki a Polkadot hídján, valamint egy kisebb incidenst, amelynek során körülbelül 13,76 millió fedezet nélküli ALPH-token jött létre az Alephium hídon.

Mindkét esetben a hamisított tokenek nem rendelkeztek valódi értékkel, és semlegesíthetők voltak, miután az érintett lánc befagyasztotta a kihasznált szerződést.

A Sandbox közlése szerint az incidens a valódi fedezet szempontjából a SAND teljes kínálatának kevesebb mint 0,01%-át érintette. A vállalat szerint az Ethereumon és a Polygonon tartott SAND-ek, az ökoszisztéma felhasználói pénztárcái, valamint a tokent fedező, Ethereumon zárolt eszközök a támadás során sértetlenek maradtak.

A platform jelenleg kártérítési tervet készít azoknak a jogosult likviditás-szolgáltatóknak, akiknek pozícióit érintette a fedezet nélküli kibocsátás, és azt tanácsolta a felhasználóknak, hogy a hidak helyreállításáig ne kereskedjenek SAND-del a Base-en vagy a BSC-n.

Egy nagyobb hídbiztonsági probléma része

A hídkizsákmányolások az év első felében több mint 320 millió dolláros veszteséget okoztak a kriptopiac egészén, mivel a támadók egyre inkább a különálló blokkláncokat összekötő intelligens szerződéseket veszik célba, nem pedig az egyes protokollokat. A Bitcoin.com News az elmúlt hónapokban hasonló mintát figyelte meg, ideértve a Gravity Bridge-támadást is, amelynek során egy hacker 5,4 millió dollárt sikkasztott el, és a nyomok elhalványulása előtt a Binance-en keresztül irányította át a pénzeszközöket.

Ezen felül érdemes megemlíteni, hogy a SAND már a támadástól függetlenül is nyomás alatt állt: a token ára a héten 0,039 dollár körül mozgott, és a Coinbase bejelentette, hogy a származékos piacok kereskedési volumenének és likviditásának átfogó felülvizsgálata részeként augusztus 26-i hatállyal tíz örökös határidős szerződést – köztük a SAND-ot is – töröl a listájáról.

A nyitott pozíciókat ekkor automatikusan elszámolják, ami a hídincidens mellett egy második forrását jelenti a rövid távú volatilitásnak.

A The Sandbox következő lépése egy utólagos elemzés arról, hogy a híd kibocsátási ellenőrzései miért vallottak kudarcot, valamint egy biztonsági audit elvégzése, mielőtt a Base és a BSC közötti hidat újra bekapcsolnák.