The Sandbox отключила мосты своего токена на Base и BNB Smart Chain: злоумышленник выпустил там SAND, за которым ничего не стоит. Использована функция approveAndCall — то есть уязвимость не в самой сети, а в контракте моста. Сети Ethereum и Polygon не затронуты, заблокированные в Ethereum монеты остались на месте и продолжают обеспечивать легитимные мостовые токены.

Коротко

  • Мосты SAND на Base и BNB Smart Chain отключены.
  • Атакующий выпустил необеспеченные токены через функцию approveAndCall.
  • Ethereum и Polygon не пострадали, залог в Ethereum цел.
  • Команда удалила настройки одноранговых узлов LayerZero для обеих сетей.
  • Фактическое влияние компания оценивает менее чем в 0,01% предложения SAND.
  • Корейские Bithumb и Upbit остановили ввод и вывод SAND.

Что именно произошло

Мост работает по простой схеме: монеты запираются в одной сети, а в другой выпускается их представление. Пока замок держит, каждая выпущенная копия чем-то обеспечена. Атака сломала вторую половину этой схемы — токены на Base и BNB были созданы без соответствующего залога.

Дальше важен ход команды: она сняла настройки одноранговых узлов LayerZero для обеих сетей. Это отрезало официальный маршрут, по которому необеспеченные токены можно было бы предъявить адаптеру в Ethereum и вытащить настоящие монеты. То есть выпущенное осталось выпущенным, но обменять его на обеспеченные активы через штатный путь нельзя.

Сеть Статус
Base мост отключён, выпущены необеспеченные токены
BNB Smart Chain мост отключён, выпущены необеспеченные токены
Ethereum не затронута, залог цел
Polygon не затронута

Сколько выпущено — данные расходятся

Единой цифры нет, и это стоит сказать прямо. Blockaid оценивает номинальную стоимость выпущенного примерно в 49 млрд долларов. Часть отчётов говорит о 329 триллионах токенов на Base, часть — о более чем 500 миллионах. Сама компания оценивает фактическое влияние менее чем в 0,01% совокупного предложения SAND.

Разброс объясним: номинал выпущенного и его реальная стоимость — разные величины. Токен, который нельзя обменять на обеспеченный актив и негде продать в объёме, стоит гораздо меньше цифры на счётчике.

Почему отреагировали именно корейские биржи

Bithumb и Upbit приостановили ввод и вывод SAND, сославшись на закон о защите пользователей виртуальных активов. Этот закон обязывает площадки ограничивать операции при угрозе средствам клиентов, и остановка — не оценка ущерба, а исполнение процедуры. Корейский надзор в принципе действует быстрее прочих: мы писали, что страна даёт финразведке право самостоятельно вести расследования.

Что здесь стоит понимать отдельно

Собственное наблюдение: это уже второй за месяц случай, когда токены выпускают из воздуха, а не крадут. В августе атакующий выпустил 4 миллиарда токенов ONE в Harmony. Разница между кражей и эмиссией принципиальная: украденное можно отследить и заморозить на биржах, а выпущенное придётся отделять от настоящего в каждом кошельке и контракте.

Отсюда практический вывод, который редко проговаривают: мостовой токен и оригинал — разные активы с разной надёжностью, даже когда торгуются под одним тикером. Держатель SAND в Ethereum и держатель SAND на Base сегодня оказались в разном положении, хотя вчера считали, что владеют одним и тем же. Проверяемый признак для пользователя простой — смотреть, в какой сети лежит монета и кто отвечает за мост, а не только на тикер в кошельке. Общий фон это подтверждает: мосты остаются самым уязвимым местом отрасли.

Чего в сообщениях нет

Не названы личность атакующего и сумма, которую он успел реализовать. Не сказано, будут ли и как аннулированы выпущенные токены. Не описан план возобновления работы мостов и сроки. Нет и данных о том, попали ли необеспеченные токены на биржи до остановки операций.

Частые вопросы

Пострадали ли обычные держатели SAND?

Монеты, заблокированные в Ethereum, по заявлению команды целы. Ограничения касаются мостов на Base и BNB Smart Chain и операций на корейских биржах.

Что такое необеспеченный токен?

Мостовое представление монеты, за которым не заперт оригинал в исходной сети. Формально он существует, фактически ничем не подкреплён.

Почему цифры выпуска разные?

Одни отчёты приводят номинальную стоимость, другие количество токенов. Компания оценивает фактическое влияние менее чем в 0,01% предложения.

Зачем сняли настройки LayerZero?

Чтобы отрезать маршрут, по которому необеспеченные токены можно предъявить адаптеру в Ethereum и получить настоящие монеты.

Когда возобновятся мосты?

Сроки не названы. На момент сообщений мосты на Base и BNB Smart Chain остаются отключёнными.

Источники