The Sandbox devolverá a los titulares elegibles de SAND puenteado en Base y BNB Chain 1:1 en SAND basado en Ethereum tras un exploit el 22 de agosto que drenó 14,742,341.84 SAND de su bóveda en Ethereum, según indicó el proyecto en un post-mortem del 27 de agosto.
El plan cubre los saldos puenteados legítimamente registrados en una instantánea previa al incidente, en lugar de los tokens creados mediante la acuñación no autorizada. The Sandbox financiará los reemplazos desde su tesorería y afirmó que no se acuñará ningún SAND adicional, manteniendo inalterada la oferta máxima fija de 3 mil millones de tokens.
Dos exchanges centralizados poseen más del 72% de los saldos elegibles y se espera que distribuyan directamente tokens de reemplazo a los clientes afectados. Otros titulares calificados utilizarán un portal de reclamaciones que The Sandbox espera abrir dentro de dos semanas del post-mortem y mantener abierto durante otras dos semanas.
Error de configuración
En Base y BNB Chain, el contrato del token SAND también funcionó como la integración del puente LayerZero, según The Sandbox. Una función de configuración permitió al atacante registrarse como el único verificador de los mensajes entrantes del puente, lo que permitió que mensajes fraudulentos acuñaran SAND no respaldado en ambas redes.
Los 14,74 millones de SAND retirados de la bóveda de Ethereum representaron aproximadamente el 0,5% de la oferta máxima del token. La cifra final fue significativamente mayor que la estimación inicial de The Sandbox de menos del 0,01%, que el proyecto indicó que reflejaba únicamente lo que pudo observar durante las primeras horas de contención.
La empresa dijo que SAND en Ethereum y Polygon no se vio afectado. Los tokens adicionales no respaldados acuñados en Base y BNB Chain fueron aislados y no pueden ser puenteados a Ethereum ni canjeados contra la caja fuerte, mientras que el puenteo en las dos redes afectadas sigue deshabilitado.
Para los fondos del atacante, The Sandbox said que había informado el monedero a TRM Labs y Chainalysis para etiquetar fondos robados y trabajó con exchanges centralizados para deshabilitar depósitos y retiros en las redes afectadas.
Los contratos del puente comprometido de Base y BNB Chain serán retirados permanentemente. Cualquier puente futuro a cualquiera de estas redes requerirá contratos recién desplegados.