O Sandbox pagará aos detentores elegíveis de SAND ponteado na Base e na BNB Chain, na proporção de 1:1, em SAND baseado em ethereum, após um ataque em 22 de agosto esvaziar 14.742.341,84 SAND de seu cofre em ethereum, conforme informado pelo projeto em um post-mortem de 27 de agosto.
O plano cobre saldos legitimamente pontilhados registrados em uma captura de tela pré-incidente, e não tokens criados através da cunhagem não autorizada. O Sandbox financiará as substituições a partir de seu tesouro e afirmou que nenhum novo SAND será cunhado, mantendo o suprimento máximo fixo de 3 bilhões de tokens inalterado.
Duas exchanges centralizadas detêm mais de 72% dos saldos elegíveis e devem distribuir diretamente aos clientes afetados os tokens de substituição. Outros titulares qualificados utilizarão um portal de reivindicações que The Sandbox espera abrir dentro de duas semanas após o pós-mortem e manter aberto por mais duas semanas.
Falha na configuração
Na Base e na BNB Chain, o contrato do token SAND também atuou como integração da ponte LayerZero, segundo o The Sandbox. Uma função de configuração permitiu que o atacante se registrasse como o único verificador das mensagens de ponte entrantes, permitindo que mensagens fraudulentas emitissem SAND não respaldado em ambas as redes.
Os 14,74 milhões de SAND retirados do cofre do ethereum representaram cerca de 0,5% da oferta máxima do token. O valor final foi significativamente maior que a estimativa inicial do The Sandbox de menos de 0,01%, que o projeto afirmou refletir apenas o que conseguiu observar nas primeiras horas de contenção.
A empresa afirmou que o SAND no Ethereum e no Polygon não foi afetado. Os tokens adicionais não lastreados cunhados na Base e na BNB Chain foram isolados e não podem ser transferidos para o Ethereum nem resgatados contra a vault, enquanto a transferência nas duas redes afetadas permanece desativada.
Para os fundos do atacante, o The Sandbox said que relatou a carteira às TRM Labs e Chainalysis para marcação de fundos roubados e trabalhou com exchanges centralizadas para desativar depósitos e saques nas redes afetadas.
Os contratos da ponte comprometidos da Base e da BNB Chain serão aposentados permanentemente. Qualquer ponte futura para qualquer uma dessas redes exigirá contratos recém-deployados.