The Sandbox remboursera les détenteurs éligibles de SAND ponté sur Base et BNB Chain à raison de 1:1 en SAND basé sur Ethereum après qu'une exploitation le 22 août a vidé 14 742 341,84 SAND de son coffre-fort Ethereum, a indiqué le projet dans un post-mortem du 27 août.
Le plan couvre les soldes légitimement transférés enregistrés dans une capture d'écran pré-incident, et non les jetons créés par une frappe non autorisée. The Sandbox financera les remplacements à partir de son trésor et a déclaré qu'aucun nouveau SAND ne sera frappé, laissant la capacité maximale fixe de 3 milliards de jetons inchangée.
Deux plateformes d'échange centralisées détiennent plus de 72 % des soldes éligibles et sont censées distribuer directement des jetons de remplacement aux clients concernés. Les autres détenteurs éligibles utiliseront un portail de réclamation que The Sandbox prévoit d'ouvrir dans les deux semaines suivant le post-mortem et de maintenir ouvert pendant deux semaines supplémentaires.
Défaut de configuration
Sur Base et BNB Chain, le contrat du token SAND a également servi d'intégration pont LayerZero, selon The Sandbox. Une fonction de configuration a permis à l'attaquant de s'enregistrer comme unique vérificateur des messages pont entrants, permettant à des messages frauduleux de créer du SAND non garanti sur les deux réseaux.
Les 14,74 millions de SAND prélevés depuis le coffre-fort Ethereum représentaient environ 0,5 % de l'offre maximale du jeton. Le chiffre final était nettement supérieur à l'estimation initiale de The Sandbox, inférieure à 0,01 %, que le projet a indiqué ne refléter que ce qu'il avait pu observer durant les premières heures de containment.
L'entreprise a déclaré que SAND sur Ethereum et Polygon n'était pas affecté. Les jetons supplémentaires non garantis créés sur Base et BNB Chain ont été isolés et ne peuvent pas être transférés vers Ethereum ni échangés contre le coffre-fort, tandis que les transferts sur les deux réseaux affectés restent désactivés.
Pour les fonds de l'attaquant, The Sandbox a déclaré avoir signalé le wallet à TRM Labs et Chainalysis pour le marquage des fonds volés et avoir collaboré avec des plateformes d'échange centralisées pour désactiver les dépôts et retraits sur les réseaux concernés.
Les contrats de pont compromise sur Base et BNB Chain seront définitivement retirés. Tout pont futur vers l'un de ces réseaux nécessitera des contrats nouvellement déployés.