The Sandbox conteve uma vulnerabilidade na sua bridge cross-chain que permitiu a um atacante cunhar SAND sem lastro na Base e na BNB Smart Chain, com o projeto estimando o impacto direto em menos de 0,01% do fornecimento total de 3 bilhões do token.
The Sandbox afirmou ter contido totalmente a vulnerabilidade que afetava sua bridge SAND na Base e na BNB Smart Chain, acrescentando que nenhuma carteira de utilizador foi comprometida e o SAND mantido na Ethereum e Polygon permaneceu seguro.
Em um comunicado de 22 de agosto, o projeto de metaverso disse que o atacante criou tokens na Base e na BNB Smart Chain sem o SAND necessário para lastreá-los na Ethereum. A equipa desativou a ponte para e de ambas as redes, isolando os tokens afetados e impedindo que fossem resgatados através da bridge oficial.
“Todos os fundos de SAND em ponte são lastreados por SAND bloqueado na Ethereum, que permanece totalmente seguro”, disse o projeto.
Os utilizadores foram instruídos a não comprar, vender ou fornecer liquidez para SAND na Base ou BNB Smart Chain enquanto as implementações afetadas permanecerem isoladas. A equipa também está a tirar um snapshot de antes do ataque e disse que os provedores de liquidez elegíveis receberiam compensação, embora não tenha fornecido um cronograma de pagamento.
Alertas iniciais on-chain mostraram mais de 500 milhões de SAND cunhados na Base, mas o número relatado aumentou rapidamente à medida que o atacante continuava a interagir com o contrato.
A PeckShield posteriormente identificou cerca de 14,9 bilhões de SAND criados em dois endereços. Outros pesquisadores de segurança registraram centenas de transações adicionais, produzindo estimativas muito maiores para o número total de tokens sem lastro gerados antes da desativação da bridge.
O tamanho do valor cunhado não representou a perda financeira direta do projeto. O SAND criado na Base ou na BNB Smart Chain não poderia aumentar o fornecimento máximo fixo de 3 bilhões do token Ethereum, a menos que o atacante pudesse usar o sistema cross-chain para liberar tokens genuínos bloqueados no adaptador Ethereum.
De acordo com a conta de forense blockchain BlockWatchdog, o atacante retirou aproximadamente 14,75 milhões de SAND do adaptador Ethereum em menos de um minuto. As vendas de tokens geraram cerca de 80 ETH, avaliados em aproximadamente US$ 675.000 no momento das transações.
O valor ajuda a explicar por que The Sandbox colocou o impacto abaixo de 0,01% do fornecimento total de SAND, embora o número de tokens cunhados nas redes afetadas parecesse muito maior. O projeto ainda não publicou um relatório técnico completo conciliando sua estimativa de perda com os números relatados por pesquisadores on-chain individuais.
A Blockaid atribuiu o incidente à tomada de permissões de delegado da LayerZero através de uma função approveAndCall. A empresa de segurança disse que o acesso permitiu ao atacante cunhar tokens através dos contratos cross-chain afetados, embora The Sandbox não tenha confirmado a causa proposta pela Blockaid num postmortem detalhado.
O padrão Omnichain Fungible Token da LayerZero usa contratos vinculados para mover ativos entre blockchains. Sob seu modelo de adaptador, um token existente é bloqueado em sua rede original enquanto uma quantidade equivalente é cunhada no destino.
Para o SAND, o adaptador Ethereum mantém os tokens originais destinados a suportar saldos cross-chain. Uma transferência legítima para a Base deve bloquear SAND na Ethereum antes de criar a quantidade correspondente na Base, preservando um fornecimento entre as redes conectadas.
A cunhagem não autorizada quebrou a relação de lastro nas cadeias afetadas, mas não reescreveu o contrato do token Ethereum nem aumentou seu fornecimento máximo. O CoinGecko continuou a mostrar um fornecimento máximo de 3 bilhões de SAND, com cerca de 2,9 bilhões de tokens em circulação.
Para impedir que os contratos afetados se comunicassem com outras implementações, The Sandbox removeu as configurações de peer da LayerZero para Base e BNB Smart Chain. A ação cortou a rota oficial pela qual os tokens sem lastro poderiam ter sido usados para reivindicar ativos mantidos pelo adaptador Ethereum.
Uma diferença semelhante entre uma falha de bridge e um problema com a blockchain subjacente apareceu durante o exploit da bridge Wanchain em julho. Cerca de 515 milhões de NIGHT saíram da tesouraria do lado Cardano da Wanchain, enquanto a Midnight Foundation disse que sua rede principal, validadores e sistema de consenso permaneceram inalterados.
Em outro incidente de julho, um atacante usou o caminho de importação da bridge Verus para acionar pagamentos de ativos sem lastro no valor de cerca de US$ 7,54 milhões. A Blockaid vinculou o ataque ao mesmo contrato de bridge e aparente classe de bug envolvidos em uma violação anterior em maio.
A Upbit emitiu um aviso de cautela após encontrar sinais de um possível problema de segurança envolvendo SAND, alertando que o incidente poderia produzir movimentos acentuados de preços. A Bithumb suspendeu separadamente depósitos e saques de SAND enquanto revisava o problema.
Relatórios citando os avisos das corretoras indicam que a suspensão da Bithumb ocorreu às 11:11 a.m. Horário Padrão da Coreia em 22 de agosto, seguida pela Upbit cerca de um minuto depois. Restrições de negociação e suspensões de transferência podem diferir, portanto, os utilizadores devem verificar o aviso de cada corretora antes de fazer um pedido ou tentar mover SAND.
A resposta rápida é consistente com os procedimentos das corretoras sul-coreanas para ativos que enfrentam suspeitas de falhas de rede, emissão anormal de tokens ou incidentes de segurança. As restrições de depósito podem limitar a chance de que tokens criados através de uma rede comprometida cheguem a uma corretora e sejam vendidos contra saldos não afetados.
O SAND foi negociado perto de US$ 0,05 após a divulgação, enquanto o CoinGecko relatou mais de US$ 66 milhões em volume de 24 horas. O provedor de dados colocou a capitalização de mercado do token perto de US$ 136 milhões e mostrou um aumento de cerca de 18% em sete dias, embora os preços variassem entre os locais de negociação.
Para os utilizadores dos EUA, a conexão imediata vem através da Base, a rede layer-2 da Ethereum desenvolvida pela corretora Coinbase, listada nos EUA. A vulnerabilidade relatada afetou os contratos cross-chain de The Sandbox implementados na Base, e não a rede subjacente da Base, de acordo com as divulgações disponíveis do projeto e de segurança.
O aviso de The Sandbox aplica-se a qualquer pessoa que possua ou negocie a versão isolada de SAND na Base, incluindo utilizadores dos EUA que acedem a corretoras descentralizadas através de carteiras de auto-custódia. Tokens disponíveis em pools de liquidez da Base podem não ter o mesmo lastro que o SAND nativo da Ethereum enquanto a bridge oficial permanecer desativada.
O incidente segue um ataque de abril envolvendo outro ativo alimentado pela LayerZero. Conforme relatado pelo crypto.news, o relatório do incidente KelpDAO da LayerZero disse que os atacantes roubaram cerca de 116.500 rsETH no valor de US$ 292 milhões após comprometerem a infraestrutura usada por uma configuração cross-chain de verificador único.
Após o ataque à KelpDAO, a LayerZero disse que sua rede de verificação pararia de assinar mensagens para aplicações usando uma configuração de verificador um-para-um e incentivaria os projetos a adotar múltiplos verificadores independentes. The Sandbox não disse se sua configuração de SAND usava o mesmo modelo ou se a última vulnerabilidade envolvia a rede de verificação da LayerZero.
The Sandbox, uma subsidiária da Animoca Brands que arrecadou US$ 93 milhões em 2021, disse que publicaria mais informações à medida que sua investigação prosseguisse. Seu último aviso não forneceu uma data para restaurar as transferências da Base e BNB Smart Chain ou especificou quando as reivindicações de compensação para provedores de liquidez elegíveis seriam abertas.
