سندباکس (The Sandbox) متعهد شده است که توکن‌های SAND واجد شرایط را به نسبت ۱:۱ بازپرداخت کند، پس از آنکه در یک بهره‌برداری از بریج (پل) در ۲۱ آگوست، حدود ۱۴.۷ میلیون توکن به ارزش تقریبی ۷۰۰,۰۰۰ دلار از یک خزانه اتریوم تخلیه شد.

بر اساس گزارش پس از حادثه (post-mortem) سندباکس در ۲۷ آگوست، کاربرانی که به طور قانونی SAND بریج‌شده (bridged) را در بیس (Base) یا بی‌ان‌بی اسمارت چین (BNB Smart Chain) قبل از حمله نگهداری می‌کردند، معادل آن را به صورت SAND مبتنی بر اتریوم دریافت خواهند کرد. این پروژه قصد دارد پرداخت‌ها را از خزانه خود و بدون ضرب (minting) توکن‌های جدید پوشش دهد.

انتظار می‌رود درخواست‌ها طی دو هفته آغاز شده و برای دو هفته دیگر در دسترس باشند. دو صرافی متمرکز بیش از ۷۲ درصد از موجودی‌های SAND واجد شرایط را تشکیل می‌دهند و سندباکس اعلام کرد که این صرافی‌ها توکن‌های جایگزین را مستقیماً به مشتریان آسیب‌دیده توزیع خواهند کرد.

سندباکس هولدرهای SAND را از خزانه خود بازپرداخت خواهد کرد

طرح بازپرداخت شامل موجودی‌های قانونی SAND بریج‌شده است که قبل از بهره‌برداری روی بیس (Base) و بی‌ان‌بی اسمارت چین (BNB Smart Chain) وجود داشتند. کاربران واجد شرایط، توکن‌های SAND صادر شده روی اتریوم را دریافت خواهند کرد که جایگزین توکن‌های آسیب‌دیده توسط زیرساخت بریج (پل) به خطر افتاده می‌شود.

سندباکس اعلام کرد که خزانه آن از قبل توکن‌های مورد نیاز برای این فرآیند را در اختیار دارد، به این معنی که این جبران خسارت، عرضه در گردش یا حداکثر عرضه SAND را افزایش نخواهد داد. کاربرانی که موجودی‌های واجد شرایط را از طریق دو صرافی متمرکز که بیشتر توکن‌های آسیب‌دیده را مدیریت می‌کنند، نگهداری می‌کردند، نیازی به ارسال درخواست‌های فردی نخواهند داشت.

برای سایر هولدرها، پروژه قصد دارد یک پورتال درخواست (claims portal) را پس از آماده شدن زیرساخت‌های لازم راه‌اندازی کند. انتظار می‌رود دوره ارسال دو هفته‌ای، طی دو هفته پس از گزارش پس از حادثه آغاز شود، هرچند پروژه تاریخ دقیقی برای شروع اعلام نکرد.

طرح جبران خسارت پس از حمله‌ای صورت می‌گیرد که قراردادهای (contracts) مسئول انتقال SAND بین اتریوم (Ethereum)، بیس (Base) و بی‌ان‌بی اسمارت چین (BNB Smart Chain) را هدف قرار داد. در حالی که بهره‌بردار (exploiter) توانست مقدار زیادی SAND بدون پشتوانه را در شبکه‌های مقصد ایجاد کند، پروژه اعلام کرد که خسارت وارده به دارایی‌های پشتوانه توکن‌های بریج‌شده قانونی حدود ۱۴.۷ میلیون SAND بود.

مقدار سرقت شده تقریباً ۰.۵٪ از حداکثر عرضه SAND (۳ میلیارد توکن) را تشکیل می‌داد.

نقص پیکربندی به مهاجم کنترل تأیید بریج را داد

سندباکس منشأ این حادثه را به یک مشکل پیکربندی در قراردادهای SAND مستقر شده در بیس (Base) و بی‌ان‌بی اسمارت چین (BNB Smart Chain) نسبت داد. این نقص به مهاجم اجازه داد تا تنها تأییدکننده برای پیام‌های ورودی بریج شود و به آدرس مذکور توانایی تأیید پیام‌های تقلبی را بدون مجوز معمول مورد نیاز توسط بریج بدهد.

با کنترل این فرآیند تأیید، مهاجم می‌توانست SAND را در چین‌های مقصد ضرب کند، حتی اگر توکن‌های مربوطه به طور قانونی در اتریوم قفل نشده بودند.

بر اساس گزارش پس از حادثه، بیش از ۳۳۹ تریلیون توکن SAND بدون پشتوانه در بیس (Base) و بی‌ان‌بی اسمارت چین (BNB Smart Chain) ضرب شد. سندباکس اعلام کرد که عرضه تقلبی از آن زمان ایزوله شده و نمی‌تواند به اتریوم بازگردانده (bridged back) یا در برابر ذخایر قانونی SAND بازخرید شود.

توکن SAND مستقر شده مستقیماً روی اتریوم و پالیگان (Polygon) تحت تأثیر این نقص پیکربندی قرار نگرفت.

تمایز بین توکن‌های قانونی و بدون پشتوانه برای فرآیند بازپرداخت حیاتی است، زیرا سیستم‌های بریج معمولاً به قفل شدن دارایی‌ها در یک شبکه قبل از صدور نمایندگی مربوطه در جای دیگر بستگی دارند. یک توضیح‌نامه (explainer) منتشر شده توسط crypto.news در ۳ آگوست، نحوه اتکای طراحی‌های بریج "قفل و ضرب" (lock-and-mint) و مرتبط با آن به مکانیزم‌های تأیید برای اطمینان از پشتوانه دارایی‌های چین مقصد توسط ارزش نگهداری شده در جای دیگر را تشریح کرد.

Crypto.news پیش از این گزارش داده بود که بهره‌برداری از بریج‌ها از سال ۲۰۲۱ منجر به بیش از ۴ میلیارد دلار ضرر شده است، با شکست‌هایی شامل اعتبارنامه‌های ولیدیتور (validator credentials)، تأیید پیام (message verification) و قراردادهای هوشمند (smart contracts) از جمله روش‌هایی که مهاجمان برای به خطر انداختن زیرساخت‌های بین زنجیره‌ای استفاده کرده‌اند.

بریج‌های SAND به خطر افتاده برای همیشه بازنشسته خواهند شد

پس از حمله ۲۱ آگوست، سندباکس تصمیم گرفت قراردادهای بریج (پل) آسیب‌دیده بیس (Base) و بی‌ان‌بی اسمارت چین (BNB Smart Chain) را بازسازی نکند. در عوض، هر دو به طور دائم بازنشسته خواهند شد.

به گفته پروژه، هر بریج آینده‌ای که SAND را به هر یک از این دو شبکه متصل کند، به قراردادهای تازه مستقر شده (newly deployed contracts) نیاز خواهد داشت. سندباکس جدول زمانی برای بازیابی دسترسی بریج به بیس یا بی‌ان‌بی اسمارت چین ارائه نکرد.

تصمیمات مشابه برای ایزوله کردن یا جایگزینی زیرساخت‌های بریج به خطر افتاده پس از چندین حمله در سال جاری دنبال شده است. در ژوئن، پروتکل انسانیت (Humanity Protocol) از ضررهای بیش از ۳۶ میلیون دلار پس از دستیابی مهاجمان به کلیدهای مدیریتی و کنترل سیستم‌های بریج بین اتریوم و بی‌ان‌بی اسمارت چین خبر داد.

مهاجمان در آن حادثه توانستند توکن‌ها را از بریج اتریوم تخلیه کرده و توکن‌های H اضافی را در بی‌ان‌بی اسمارت چین ضرب کنند. یک تحقیق پزشکی قانونی بعدی، کلیدهای به خطر افتاده را به یک دستگاه توسعه‌دهنده آلوده به بدافزار که حاوی نسخه‌های پشتیبان از هفت کلید خصوصی بود، ردیابی کرد.

یک حادثه بریج دیگر در جولای، زیرساخت وان‌چین (Wanchain) که کاردانو (Cardano) و بی‌ان‌بی چین (BNB Chain) را به هم متصل می‌کرد، هدف قرار داد. شرکت امنیت بلاکچین BlockSec اعلام کرد که حدود ۵۱۵ میلیون توکن NIGHT از خزانه سمت کاردانو در بهره‌برداری بریج وان‌چین خارج شد که در آن زمان حدود ۹ میلیون دلار ارزش داشت. میدنایت (Midnight) اعلام کرد که شبکه اصلی آن امن باقی مانده و این حادثه را به عنوان حادثه‌ای جداگانه مربوط به زیرساخت بریج توصیف کرد.

بهره‌برداری از بریج‌ها در سال ۲۰۲۶ نیز ادامه یافته است

زیرساخت‌های بین زنجیره‌ای در سال ۲۰۲۶ با مجموعه‌ای از حملات شامل شکست‌های مختلف در تأیید و امنیت روبرو شده است.

اکسلار (Axelar) اتصالات بریج با سکرت نتورک (Secret Network) را در ژوئن پس از بهره‌برداری که منجر به ضررهای تقریبی ۴.۷ میلیون دلاری شد، غیرفعال کرد. این حادثه بر دارایی‌های بریج‌شده اکسلار در سکرت نتورک تأثیر گذاشت در حالی که اکسلار اعلام کرد پروتکل اصلی آن تحت تأثیر قرار نگرفته است.

یک ماه بعد، AFX دچار ضرر ۲۴.۱۵ میلیون دلاری USDC از طریق بریجی شد که توسط پروتکل معاملاتی اداره می‌شد. زیرساخت آسیب‌دیده از بریج بومی آربیتروم (Arbitrum) جدا بود و مهاجم سپس USDC سرقت شده را به اتریوم منتقل کرد و قبل از تبدیل آن به حدود ۱۲,۴۶۷.۵ ETH.

AFX بعداً پس از تحقیقات خود که حمله را به یک کمپین مهندسی اجتماعی که زیرساخت‌های توسعه داخلی را به خطر انداخته بود، مرتبط کرد، یک طرح حسن نیت (goodwill plan) برای کاربران آماده کرد. این پروتکل اعلام کرد که زیرساخت‌های کلیدی را بازسازی کرده و اقدامات امنیتی جدیدی را پس از این حادثه معرفی کرده است.

انتظار می‌رود فرآیند بازپرداخت سندباکس پس از آماده شدن سیستم درخواست آن آغاز شود. موجودی‌های واجد شرایط نگهداری شده از طریق دو صرافی متمرکز مستقیماً توسط آن پلتفرم‌ها اداره خواهند شد، در حالی که سایر هولدرها دو هفته پس از باز شدن پورتال، فرصت دارند درخواست‌های خود را ارسال کنند.

SAND در زمان گزارش پس از حادثه نزدیک به ۰.۰۴ دلار معامله می‌شد که حدود ۱۰.۴٪ نسبت به هفت روز قبل کاهش یافته بود.