Sáng sớm hôm nay, người dùng The Sandbox bị ảnh hưởng bởi cuộc tấn công ngày 21 tháng 8 đã nhận được tin tốt: dự án thông báo về kế hoạch bồi thường với tỷ lệ 1:1, sẽ được thanh toán bằng phiên bản $SAND trên nền tảng Ethereum.
Theo tuyên bố của công ty The Sandbox, họ sẽ mở cửa một giai đoạn hai tuần để nộp đơn yêu cầu bồi thường trong vòng hai tuần sau khi công bố thông tin vào ngày 27 tháng 8.
Kế hoạch bồi thường chỉ áp dụng cho những người nắm giữ token đã được chứng minh sở hữu các token $SAND được hợp nhất trên các mạng Base và BNB Smart Chain (BSC) tại thời điểm cuộc tấn công xảy ra. Tổng cộng, nhóm người nắm giữ này đã mất khoảng 697.000 đô la.
Khi nào chủ sở hữu $SAND sẽ nhận được khoản bồi thường?
Theo The Sandbox, người dùng bị ảnh hưởng sẽ phải đợi ít nhất một tháng trước khi nhận được khoản bồi thường.
- Quá trình nộp đơn sẽ bắt đầu trong vòng hai tuần sau ngày 27 tháng 8.
- Việc tiếp nhận đơn sẽ kéo dài thêm hai tuần nữa.
Hoàn trả sẽ được thực hiện dưới dạng $SAND trên nền tảng Ethereum, và chỉ những chủ sở hữu token $SAND đã được bắc cầu trên các nền tảng Base và BSC tại thời điểm rò rỉ mới đủ điều kiện.
Chủ sở hữu phiên bản $SAND trên Ethereum đã hoàn toàn tránh được sự cố vì lượng cung cấp trong mạng vẫn là 3 tỷ token. Phiên bản $SAND trên nền tảng Polygon cũng không bị ảnh hưởng vì hoạt động thông qua một cây cầu riêng biệt.
"Số dư trên cả hai chuỗi vẫn không thay đổi và không cần hành động nào từ phía người dùng," công ty The Sandbox giải thích trong phân tích nguyên nhân sự cố của họ.
The Sandbox đổ lỗi lỗ hổng bảo mật cho hợp đồng token
The Sandbox tuyên bố rằng lỗ hổng không liên quan đến các khóa nằm dưới sự kiểm soát của họ, mà thay vào đó, họ chỉ ra hợp đồng token $SAND trên các nền tảng Base và BSC.
Như phân tích sau sự cố cho thấy, hợp đồng token được cấu hình để đồng thời thực hiện chức năng của một ứng dụng đã đăng ký cho cầu nối. Vấn đề là lớp trao đổi thông điệp đã diễn giải bất kỳ dữ liệu đầu vào nào từ phía này như là các hướng dẫn trực tiếp từ chính "The Sandbox".
Người ta cho rằng cơ chế này sẽ cho phép người dùng tránh các giao dịch không cần thiết. Thay vào đó, kẻ tấn công đã lợi dụng lỗ hổng này và thực hiện bốn bước, gây thiệt hại kinh tế tổng cộng gần 1,49 triệu đô la.
- Đầu tiên, chúng sử dụng chức năng gọi để đăng ký địa chỉ của riêng mình làm quản trị viên được ủy quyền.
- Sau khi có quyền quản trị viên, chúng viết lại cài đặt xác minh để chỉ cần một xác nhận từ địa chỉ của chúng là đủ để xác thực thông điệp trên cầu nối.
- Sau đó, chúng gửi thông điệp tiền gửi giả, dẫn đến việc phát hành token $SAND trên các nền tảng Base và BSC cho các khoản tiền gửi Ethereum không thực sự tồn tại.
- Cuối cùng, chúng bán một phần token giả để lấy ETH và sử dụng chức năng cầu ngược để rút token $SAND thật từ kho lưu trữ Ethereum.
Theo điều tra pháp y, số tiền bị rút trực tiếp từ khoản dự trữ là 14.742.341,84 $SAND. Kẻ tấn công đã bỏ trốn với khoảng 987.000 đô la.
Cầu nối vẫn đóng cửa
Công ty Sandbox đã đóng cửa cầu nối ở cấp độ hợp đồng trên cả ba chuỗi và theo thông báo của họ, từ 02:21 UTC cùng ngày, không có token $SAND nào rời khỏi mạng. Trong thông báo công khai đầu tiên vào ngày 22 tháng 8, lỗ hổng được mô tả là "đã được kiểm soát hoàn toàn" và thiệt hại chiếm chưa đến 0,01% tổng nguồn cung $SAND.
Công ty không nuôi hy vọng khôi phục tạm thời cầu nối. Vì các hợp đồng bị ảnh hưởng cho phép ứng dụng tái cấu trúc liên tục, quyền kiểm soát các vai trò ủy quyền "có thể bị tranh chấp vĩnh viễn", và bất kỳ nỗ lực nào để giành lại chúng đều có thể bị phá hoại bởi bất kỳ ai sẵn sàng trả phí gas.
Trong tuyên bố của mình, công ty lưu ý: "Không có cấu hình nào của các hợp đồng này khiến việc mở lại cầu nối trở nên an toàn."
Ban đầu, sự cố này gây ra hoảng loạn trên thị trường. Cryptopolitan đã báo cáo rằng công ty xử lý dữ liệu blockchain Lookonchain đã phát hiện một cuộc "tấn công tạo token vô hạn" được cho là và ước tính khối lượng $SAND được tạo ra hơn 500 triệu.
Các sàn giao dịch Hàn Quốc Upbit và Bithumb đã hạn chế việc nạp và rút $SAND và cảnh báo các nhà giao dịch về sự biến động. $SAND giao dịch quanh mức $0,042 và vốn hóa thị trường vào khoảng 123 triệu đô la.
