14,74 triệu SAND bị đánh cắp, The Sandbox đền bù 1:1 cho nạn nhân

The Sandbox(SAND) sẽ đền bù 1:1 bằng token SAND cho các nạn nhân bị ảnh hưởng bởi lỗ hổng cầu nối (bridge) trên Base và BNB Chain(BNB). Theo thống kê, lượng SAND bị rút khỏi kho lưu trữ trên Ethereum(ETH) trong vụ tấn công là 14.742.341,84 SAND, tương đương khoảng 697.000 USD.

Trong báo cáo phân tích sự cố công bố ngày 27, The Sandbox cho biết nguyên nhân xuất phát từ lỗi cấu hình cầu nối trong hợp đồng token SAND được triển khai trên Base và BNB Chain. Kẻ tấn công đã lợi dụng lỗ hổng này để tự đăng ký mình là bên xác thực duy nhất cho các thông điệp cầu nối, từ đó phát hành SAND không có tài sản đảm bảo trên cả hai mạng lưới.

Sự cố xảy ra vào ngày 21/8. The Sandbox cho biết đã tạm dừng cầu nối ở cấp hợp đồng trên các chuỗi bị ảnh hưởng vào ngày 22/8, nhằm chặn việc di chuyển số SAND không có tài sản đảm bảo còn lại.

Sau khi phát hành SAND không có đảm bảo, kẻ tấn công đã bán một phần trên sàn giao dịch phi tập trung (DEX) trên Base. Kết quả điều tra cho thấy đối tượng còn dùng các thông điệp cầu nối giả mạo để đốt số SAND không đảm bảo này, qua đó rút tài sản đảm bảo thật từ kho lưu trữ trên Ethereum.

Theo AB Media, kẻ tấn công đã bán token không có đảm bảo trên Base để quy đổi thành khoảng 327,59 WETH. Quá trình điều tra cũng ghi nhận trường hợp một bot chênh lệch giá (arbitrage bot) của bên thứ ba mua vào SAND không đảm bảo rồi hoàn tất quy trình hoàn trả.

The Sandbox cho biết đợt đền bù lần này dựa trên số dư SAND đã được cầu nối hợp lệ trước khi xảy ra sự cố. Công ty sẽ chi trả bằng SAND chuẩn Ethereum từ kho dự án, không phát hành token mới.

Tổng cung tối đa 3 tỷ SAND vẫn được giữ nguyên. Công ty nhấn mạnh đây không phải là đợt phát hành mới mà là biện pháp khắc phục sử dụng lượng token đang nắm giữ trong kho.

Hơn 72% số dư bị ảnh hưởng được xác định đang nằm trên hai sàn giao dịch tập trung là Coinbase($COIN) và Binance. Người dùng của các sàn này sẽ nhận đền bù thông qua chính sàn giao dịch tương ứng.

Những người sở hữu hợp lệ còn lại, bao gồm chủ ví cá nhân, có thể đăng ký qua trang yêu cầu bồi thường riêng, dự kiến mở trong vòng 2 tuần kể từ ngày công bố báo cáo phân tích sự cố. Thời gian nhận yêu cầu kéo dài 2 tuần kể từ khi trang này được mở.

Cầu nối (bridge) là cơ chế kết nối việc di chuyển tài sản giữa các blockchain khác nhau. Cơ chế này thường hoạt động theo nguyên tắc khóa tài sản trên một chuỗi và phát hành token tương ứng trên chuỗi còn lại, nên nếu cấu hình xác thực bị lỗi, hậu quả có thể là phát hành token không có tài sản đảm bảo.

Trong sự cố lần này, vấn đề cốt lõi không nằm ở việc phát hành SAND không đảm bảo, mà ở quy mô tài sản đảm bảo thực sự bị rút khỏi kho trên Ethereum. The Sandbox cho biết số SAND phát hành không có đảm bảo hiện không thể hoàn trả từ kho Ethereum hay di chuyển qua cầu nối chính thức.

The Sandbox sẽ dừng vĩnh viễn các hợp đồng cầu nối bị ảnh hưởng hiện tại. Nếu mở lại cầu nối với Base và BNB Chain trong tương lai, công ty cho biết sẽ triển khai hợp đồng mới.

SAND chuẩn Ethereum và Polygon(POL) không bị ảnh hưởng bởi lỗ hổng lần này. The Sandbox cũng khẳng định không có khóa (key) chính thức nào bị rò rỉ.

Trước đó tại Hàn Quốc, sàn Upbit đã thông báo tạm dừng nạp/rút và cảnh báo giao dịch đối với SAND do vấn đề bảo mật. Khi đó, The Sandbox cho biết đã chặn lỗ hổng cầu nối xuyên chuỗi của SAND giữa Base và BNB Smart Chain.

Đây là bước tiếp theo cụ thể hóa quy mô thiệt hại và phương án đền bù, sau bài viết trước đó của TokenPost về kế hoạch đền bù của The Sandbox. Công ty cho biết đã báo cáo ví của kẻ tấn công cho TRM Labs và Chainalysis, đồng thời phối hợp với các sàn giao dịch tập trung để chặn nạp/rút trên các mạng lưới bị ảnh hưởng.