Hack mosta Sandbox vygeneroval 14,9 miliárd SAND, zatiaľ čo Coinbase stiahla z ponuky futures

Zraniteľnosť zasiahla mosty Base a BSC

Sandbox, herná platforma v metaverse stojaca za tokenom SAND, obsahovala zraniteľnosť ovplyvňujúcu jej medzi-reťazcové mosty na sieťach Base a BNB Smart Chain (BSC). Útočník zneužil mechanizmus emisie mostov na vytvorenie tokenov SAND bez skutočného krytia v oboch sieťach. The Sandbox deaktivoval prepojenie na sieťach Base a BSC hneď po zistení útoku, čím znemožnil útočníkovi ďalšie presúvanie falošných tokenov.

Infraštruktúra mostov platformy Sandbox bežne funguje tak, že zamkne tokeny SAND v jednom reťazci, zvyčajne v sieti Ethereum, a v cieľovej sieti vygeneruje ekvivalentné množstvo s plným krytím. Práve tento model krytia v pomere 1:1 zlyhal v tomto incidente, čo umožnilo generovanie tokenov na sieťach Base a BSC bez zodpovedajúceho uzamknutia v zdrojovom reťazci.

Anomália v objeme 14,9 miliardy tokenov

Spoločnosť Peckshield identifikovala približne 14,9 miliardy nezabezpečených tokenov SAND vyrazených na dvoch adresách spojených s týmto exploitom. Rozsah tohto čísla je pozoruhodný, keďže legitímny celkový objem ponuky SAND je obmedzený na 3 miliardy tokenov, čo znamená, že vyrazené množstvo bolo takmer päťkrát väčšie ako všetky skutočné tokeny SAND, ktoré kedy existovali alebo budú existovať.

Tento nesúlad je bežný pri útokoch na mosty, kde útočník manipuluje s funkciou razenia inteligentnej zmluvy namiesto toho, aby skutočne ukradol uzamknuté kolaterály. Podobné útoky založené na vytváraní tokenov zasiahli v priebehu roka aj iné protokoly, vrátane útoku na most, ktorý útočníkovi umožnil vygenerovať 1 miliardu neautorizovaných tokenov DOT na moste Polkadot začiatkom roka 2026, a menšieho incidentu, pri ktorom bolo na moste Alephium vytvorených približne 13,76 milióna nezabezpečených tokenov ALPH.

V každom prípade nemali sfalšované tokeny žiadnu skutočnú hodnotu a bolo možné ich zneškodniť, akonáhle postihnutý reťazec zmrazil zneužitú zmluvu.

Spoločnosť The Sandbox uviedla, že incident ovplyvnil menej ako 0,01 % celkovej ponuky SAND z hľadiska skutočného krytia, ktoré bolo ohrozené. SAND držaný na sieťach Ethereum a Polygon, v peňaženkách používateľov v rámci celého ekosystému a aktíva uzamknuté na Ethereu, ktoré kryjú tento token, zostali počas celého útoku nedotknuté, uviedla spoločnosť.

Platforma teraz pripravuje kompenzačný plán pre oprávnených poskytovateľov likvidity, ktorí držali pozície ovplyvnené razením bez krytia, a odporučila používateľom, aby neobchodovali s SAND na sieťach Base alebo BSC, kým nebudú mosty obnovené.

Súčasť väčšieho problému s bezpečnosťou mostov

Straty spôsobené zneužitím mostov v krypto priemysle v prvej polovici roka prekročili 320 miliónov dolárov, keďže útočníci sa čoraz častejšie zameriavajú na inteligentné zmluvy, ktoré spájajú samostatné blockchainy, a nie na jednotlivé protokoly. Bitcoin.com News zaznamenal v posledných mesiacoch podobný trend, vrátane zneužitia mostíka Gravity Bridge, pri ktorom hacker odcudzil 5,4 milióna dolárov a presmeroval prostriedky cez Binance, než sa stopa stratila.

Okrem toho stojí za zmienku, že SAND čelil tlaku už aj bez ohľadu na tento útok – cena jeho tokenu sa tento týždeň pohybovala okolo 0,039 dolára – a spoločnosť Coinbase oznámila svoje plány vyradiť z obchodovania desať nekonečných futures kontraktov, vrátane SAND, s účinnosťou od 26. augusta, a to v rámci širšieho prehodnotenia obchodného objemu a likvidity na svojich derivátových trhoch.

Otvorené pozície budú v tom momente automaticky vyrovnané, čo okrem incidentu s mostíkom predstavuje druhý zdroj krátkodobej volatility.

Ďalším krokom pre The Sandbox je analýza príčin zlyhania kontrolných mechanizmov pri emisii mostíka a bezpečnostný audit pred opätovným spustením prepojenia medzi sieťami Base a BSC.