Podle informací serveru The Defiant objevila platforma The Sandbox (vývojář decentralizované virtuální světa a správce SAND tokenu) zranitelnost v mechanismu svého cross-chain bridge pro SAND tokeny. Tento exploit umožnil nepovolanému subjektu „vytvořit“ obrovské množství nenavázaných SAND tokenů na sítích Base (blockchain na bázi Ethereum) a BNB Smart Chain. Zranitelnost už byla podle The Sandbox plně omezena tím, že bylo okamžitě zastaveno veškeré propojení mezi těmito řetězci a Ethereum, a všechny nově vzniklé tokeny zůstávají na těchto dvou sítích bez možnosti jejich převodu nebo směny za hodnotu na jiných řetězcích.

Reakce The Sandbox a bezpečnostní firmy

Společnost The Sandbox vydala uživatelům varování, aby v žádném případě neobchodovali se SAND na sítích Base a BNB Smart Chain. Upozornila, že likvidita je na těchto sítích po incidentu kompromitována, přičemž současně potvrdila, že peněženky uživatelů ohroženy nebyly. SAND na sítích Ethereum a Polygon nebyl incidentem dotčen a zajištění všech bridgovaných SAND tokenů na Ethereum zůstává nedotčeno. The Sandbox odhadl dopad incidentu na méně než 0,01 % celkové zásoby SAND.

K analyzování útoku přispěly odborné firmy Blockaid a PeckShield. Blockaid vysvětlila, že útočníci využili možnost získat delegované pravomoci pomocí funkce approveAndCall v omnichain kontraktu SAND na Base. Tyto pravomoci umožnily útočníkům mintovat nové tokeny v hodnotě až 49 miliard dolarů v průběhu více než 400 transakcí. PeckShield poté identifikovala dvě adresy, na kterých bylo vygenerováno celkem 14,9 miliardy SAND, což výrazně překračuje běžnou cirkulující zásobu, která je okolo 2,94 miliardy (z maximálních 3 miliard).

Neshody v údajích a opatření burz

The Sandbox neuvedl přesně, jakých ztrát incident způsobil v absolutních hodnotách, ani jak je měřeno uváděné procento dopadu. Vzhledem k pokračujícím transakcím v době zveřejnění jednotlivých analýz nedošlo ke sjednocení údajů mezi firmami Blockaid a PeckShield, jejichž reporty se rozcházejí i v celkových číslech.

Ještě před oficiálním potvrzením incidentu zareagovaly dvě největší jihokorejské kryptoměnové burzy, Upbit a Bithumb. Obě pozastavily převody SAND na základě ustanovení zákona o ochraně uživatelů virtuálních aktiv v Jižní Koreji. Upbit zastavil nejen vklady a výběry SAND na Ethereum síti (ač tato podle The Sandbox nebyla ovlivněna), ale také upozornil na cenovou volatilitu SAND v souvislosti s incidentem. Burza nasměrovala uživatele na sledování aktivit podezřelé adresy na Base. Bithumb přijalo podobné kroky a také varovalo uživatele před možnými výkyvy ceny během přerušení převodů. Obě platformy umožňují i nadále obchodování v rámci své burzy, avšak převody zůstávají až do dalšího oznámení zastaveny.

Tržní reakce a další kroky

Navzdory závažnosti incidentu trhy na událost výrazně nereagovaly. Cena tokenu SAND na větších kryptoburzách krátce po incidentu dokonce rostla a pohybovala se okolo 0,0479 dolaru. V průběhu posledních 24 hodin tak SAND zaznamenal asi 4,6% nárůst, za poslední týden dokonce 22% růst tržní kapitalizace na přibližně 141 milionů dolarů podle údajů CoinGecko.

The Sandbox zároveň oznámil, že provede snapshot pozic uživatelů před incidentem a připravuje kompenzační plán pro ty, kteří byli zasaženi v rámci postižených likviditních poolů. Platforma slibuje i podrobnou technickou zprávu a kompletní analýzu průběhu útoku. Očekává se, že bližší informace budou zveřejněny spolu se zprávou o incidentu. Ani jedna z korejských burz prozatím nestanovila termín opětovného spuštění převodů SAND.