Hoy, a primera hora, los usuarios de Sandbox afectados por el ataque del 21 de agosto recibieron buenas noticias: el proyecto anunció un plan de compensación de relación 1:1, que se pagará en la versión $SAND basada en Ethereum.
Según la declaración de The Sandbox, abrirá un período de dos semanas para solicitar la compensación dentro de las dos semanas posteriores a la publicación de la información el 27 de agosto.
El plan de compensación se aplica solo a los tenedores de tokens que puedan demostrar que poseían tokens $SAND puenteados en las redes Base y BNB Smart Chain (BSC) en el momento del hackeo. En conjunto, este grupo de tenedores perdió aproximadamente 697.000 dólares.
¿Cuándo recibirán la compensación los propietarios de $SAND?
Según The Sandbox, los usuarios afectados tendrán que esperar al menos un mes antes de recibir su compensación.
- El proceso de solicitud comenzará dentro de las dos semanas posteriores al 27 de agosto.
- La recepción de solicitudes durará otras dos semanas.
El reembolso se realizará en $SAND basado en Ethereum, y solo tendrán derecho los propietarios de $SAND puenteados en las plataformas Base y BSC en el momento de la filtración.
Los propietarios de la versión de $SAND en Ethereum evitaron completamente el incidente, ya que el suministro en esa red sigue siendo de 3 mil millones de tokens. La versión de $SAND basada en Polygon tampoco se vio afectada, ya que opera a través de un puente separado.
"Los saldos en ambas cadenas permanecen sin cambios, y no se requiere ninguna acción por parte del usuario", explicó The Sandbox en su análisis de las causas del incidente.
The Sandbox culpa a la vulnerabilidad del contrato de tokens
The Sandbox declaró que la vulnerabilidad no estaba relacionada con las claves bajo su control, señalando en su lugar a los contratos de tokens de $SAND en las plataformas Base y BSC.
Como mostró el análisis posterior al fallo, el contrato del token está configurado para actuar simultáneamente como una aplicación registrada del puente. El problema era que la capa de mensajería interpretaba cualquier entrada desde ese lado como instrucciones directas del propio 'Sandbox'.
Se suponía que este esquema permitiría a los usuarios evitar transacciones extra. En cambio, los atacantes aprovecharon este resquicio y en cuatro etapas causaron un daño económico total de casi 1,49 millones de dólares.
- Primero, utilizaron una función de llamada para registrar su propia dirección como administrador autorizado.
- Con privilegios de administrador, reescribieron la configuración de verificación para que una sola confirmación desde su propia dirección fuera suficiente para validar un mensaje en el puente.
- Luego enviaron mensajes falsos de depósito, lo que provocó la emisión de $SAND en las plataformas Base y BSC por depósitos de Ethereum que en realidad nunca ocurrieron.
- Finalmente, vendieron parte de los tokens falsos por ETH y utilizaron la función de puente inverso para extraer $SAND real de la reserva de Ethereum.
Según el análisis forense, el monto extraído directamente de la tesorería fue de 14,742,341.84 $SAND. El atacante escapó con aproximadamente 987,000 dólares.
El puente permanece cerrado
The Sandbox cerró el puente a nivel de contrato en las tres cadenas, y según sus datos, desde las 02:21 UTC del mismo día, ningún $SAND ha salido de la red. En la primera notificación pública publicada el 22 de agosto, la vulnerabilidad se describió como "totalmente contenida", y el daño fue menos del 0.01% del suministro total de $SAND.
La compañía no alimentó esperanzas de reabrir temporalmente el puente. Dado que los contratos afectados permiten que la aplicación se reestructure constantemente, el control sobre los roles de delegado "puede ser disputado para siempre", y cualquier intento de recuperarlos puede ser frustrado por cualquiera dispuesto a pagar la tarifa de gas.
En su declaración, la compañía señaló: "No hay configuración posible de estos contratos que permita una reapertura segura del puente."
Inicialmente, este incidente provocó pánico en el mercado. Cryptopolitan informó que la empresa de análisis de datos en cadena Lookonchain registró una presunta "ataque de creación infinita" y estimó el volumen de $SAND creado en más de 500 millones.
Los intercambios coreanos Upbit y Bithumb restringieron los depósitos y retiros de $SAND y advirtieron a los operadores sobre la volatilidad. $SAND cotizaba alrededor de $0.042, con una capitalización de mercado de aproximadamente $123 millones.
