14,74 milyon SAND sızdı, Sandbox 1'e 1 tazminat ödeyecek

The Sandbox, Base ve BNB Chain köprüsündeki güvenlik açığından etkilenen kullanıcılara Sand(SAND) tokenini 1'e 1 oranında tazmin edeceğini açıkladı. Saldırı sonucu Ethereum kasasından çekilen miktarın 14.742.341,84 SAND, yaklaşık 697.000 dolar (yaklaşık 960 milyon won) olduğu belirlendi.

The Sandbox, 27'sinde yayımladığı olay sonrası analizde, sorunun Base ve BNB Chain'de dağıtılan SAND token sözleşmesindeki köprü ayarı hatasından kaynaklandığını açıkladı. Saldırgan bu ayarı kullanarak kendisini köprü mesajlarının tek doğrulayıcısı olarak kaydettirdi ve iki ağda teminatsız SAND bastı.

Olay 21 Ağustos'ta meydana geldi. The Sandbox, 22 Ağustos'ta etkilenen zincirlerdeki sözleşme düzeyindeki köprüyü durdurarak kalan teminatsız SAND'in hareketini engellediğini açıkladı.

Saldırgan teminatsız SAND bastıktan sonra bir kısmını Base üzerindeki merkeziyetsiz borsada sattı. Soruşturmada, saldırganın sahte köprü mesajları kullanarak teminatsız SAND'i yaktığı ve Ethereum kasasındaki gerçek teminatı çektiği belirlendi.

AB Media, saldırganın Base'te teminatsız tokenleri satarak yaklaşık 327,59 WETH nakde çevirdiğini bildirdi. İncelemede, üçüncü taraf arbitraj botlarının teminatsız SAND satın aldıktan sonra itfa sürecini tamamladığı örneklere de değinildi.

The Sandbox bu tazminatı, olay öncesinde normal şekilde köprüden geçirilmiş SAND bakiyesini esas alarak gerçekleştirecek. Proje kasasındaki Ethereum tabanlı SAND ödenecek, yeni token basılmayacak.

SAND'in 3 milyar adetlik azami arzı da korunuyor. Şirket, bu tazminatın yeni basım değil, kasadaki mevcut varlıkların kullanıldığı bir telafi önlemi olduğunu vurguladı.

Etkilenen bakiyenin yüzde 72'sinden fazlasının Coinbase($COIN) ve Binance adlı iki merkezi borsada bulunduğu tespit edildi. Bu borsaların kullanıcıları tazminatı ilgili borsalar üzerinden alacak.

Kişisel cüzdanlar gibi diğer uygun sahipler, olay sonrası analizin yayımlanmasından itibaren iki hafta içinde açılacak özel talep sayfasından başvurabilecek. Başvuru süresi, sayfa açıldıktan sonra iki hafta boyunca sürecek.

Köprü, farklı blok zincirleri arasındaki varlık transferini sağlayan bir mekanizmadır. Genellikle bir zincirde varlığı kilitleyip diğer zincirde karşılık gelen tokeni basma şeklinde çalıştığından, doğrulama ayarlarının hatalı olması teminatsız token basımına yol açabilir.

Bu olayda da asıl mesele teminatsız SAND basımından çok, Ethereum kasasından çekilen gerçek teminatın büyüklüğü. The Sandbox, teminatsız basılan SAND'in Ethereum kasasından itfa edilemeyeceğini veya resmi köprü üzerinden taşınamayacağını açıkladı.

The Sandbox, etkilenen mevcut köprü sözleşmelerini kalıcı olarak durduruyor. İleride Base ve BNB Chain köprülerini yeniden açması durumunda yeni sözleşmeler devreye alınacak.

Ethereum ve Polygon(POL) tabanlı SAND bu saldırıdan etkilenmedi. The Sandbox, resmi anahtarların da sızdırılmadığını belirtti.

Daha önce Kore borsası Upbit, SAND'deki güvenlik sorunu nedeniyle yatırma-çekme işlemlerini durdurduğunu ve işlem uyarısı yayımladığını duyurmuştu. O dönem The Sandbox, Base ve BNB Smart Chain SAND çapraz zincir köprüsündeki güvenlik açığını kapattığını açıklamıştı.

Bu gelişme, TokenPost'un daha önceki The Sandbox tazminat planı haberinin ardından hasar boyutu ve tazminat yönteminin netleştiği bir takip haberi niteliği taşıyor. The Sandbox, saldırgana ait cüzdanı TRM Labs ve Chainalysis'e bildirdiğini, merkezi borsalarla görüşerek etkilenen ağlarda yatırma-çekme işlemlerini durdurduğunu açıkladı.