샌드박스는 2주 안에 1:1 보상 플랜을 시작할 예정입니다

8월 21일 공격으로 피해를 입은 샌드박스 사용자들은 오늘 아침 프로젝트 측에서 Ethereum 버전의 SAND로 1:1 보상 계획을 발표하면서 희소식을 접했습니다.

더 샌드박스의 발표에 따르면, 8월 27일 발표 후 2주 이내에 2주간의 보상 청구 기간을 열 예정입니다.

보상 계획은 해킹 발생 당시 Base 및 BNB 스마트 체인(BSC)에서 브리지된 SAND 토큰을 보유하고 있었음을 입증할 수 있는 토큰 보유자에게만 적용됩니다. 해당 보유자들은 총 약 69만 7천 달러의 손실을 입었습니다.

SAND 보유자는 언제 보상을 받게 되나요?

더 샌드박스에 따르면, 피해를 입은 사용자들은 실제로 보상을 받기까지 최소 한 달을 기다려야 할 것으로 예상됩니다.

• 청구 절차는 8월 27일로부터 2주 이내에 시작될 예정입니다.
• 청구 기간은 앞으로 2주 더 열려 있습니다.

환불은 Ethereum기반 SAND로 지급되며, 침해 발생 당시 Base 및 BSC에서 브리지된 SAND를 보유하고 있던 사용자만 환불 대상입니다.

Ethereum 버전의 SAND 보유자는 이번dent에서 완전히 무사했으며, 해당 체인의 총 공급량은 여전히 30억 개 토큰으로 유지되었습니다. 폴리곤 기반 SAND 또한 별도의 브리지를 통해 운영되기 때문에 이번 사태의 영향을 받지 않았습니다.

"양쪽 체인의 잔액은 모두 정상이며 사용자 조치는 필요하지 않습니다."라고 The Sandbox는 사후 분석.

샌드박스는 토큰trac을 악용한 것으로 보고 있습니다

샌드박스 측은 해당 결함이 자사에서 관리하는 키에서 발생한 것이 아니며, 대신 Base 및 BSC의 SAND 토큰trac에서 비롯된 것이라고 밝혔습니다.

사후 분석 결과, 토큰 계약trac브리지의 등록된 애플리케이션 역할도 겸하도록 설정되어 있었습니다. 문제는 메시징 계층이 해당 방향에서 들어오는 모든 입력을 샌드박스 자체의 직접적인 지시로 해석했다는 점입니다.

해당 설정은 사용자들이 불필요한 거래를 피할 수 있도록 고안되었습니다. 그러나 공격자들은 이 허점을 악용하여 단 네 단계에 걸쳐 총 149만 달러에 달하는 경제적 피해를 입혔습니다.

• 그들은 먼저 통화 기능을 사용하여 자신들의 주소를 공인 관리자로 등록했습니다.
• 관리자 권한을 이용해 그들은 인증 설정을 변경하여 자신들의 주소에서 한 번만 승인하면 브리지 메시지를 확인할 수 있도록 했습니다.
• 그들은 가짜 입금 메시지를 제출하여, 실제로는 발생하지 않은 Ethereum 입금을 전제로 Base와 BSC에서 SAND를 발행했습니다.
• 마지막으로 그들은 가짜 토큰 일부를 이더리움으로 교환하고 역브리지 기능을 사용하여 Ethereum 저장소에서 실제 SAND를 인출했습니다.

분석 결과, 금고에서 직접 인출된 금액은 14,742,341.84 SAND로 확인되었습니다. 공격자는 약 987,000달러를 챙긴 것으로 보입니다.

다리는 계속 폐쇄되어 있습니다

샌드박스는 8월 22일 05:26 UTC에 세 개 체인 전체에 걸쳐 에서trac, 같은 날 02:21 UTC 이후로는 샌드가 전혀 반출되지 않았다고 밝혔습니다. 8월 22일에 게시된 첫 번째 공지에서는 해당 취약점이 "완전히 통제되었다"고 밝혔으며, 피해 규모는 전체 샌드 공급량의 0.01% 미만이라고 발표했습니다. 수준 연결을 차단했으며

해당 회사는 당분간 다리를 재개통할 가능성을 시사하는 어떤 언급도 하지 않았습니다. 문제가 된trac은 애플리케이션이 자체적으로 재구성할 수 있도록 영구적으로 허용하기 때문에 위임 역할에 대한 제어권은 "영원히 분쟁의 대상이 될 수 있으며", 가스 비용만 지불하면 누구든 이를 되찾으려는 시도를 무산시킬 수 있습니다.

그들은 "이러한trac조건 중 어떤 형태로도 다리를 재개통하는 것이 안전하지 않다"고 밝혔습니다

이 사건은 처음에는 시장에 불안감을 조성하며 불거졌습니다. Cryptopolitan 보도 했습니다.

한국 거래소 업비트와 비썸은 SAND 입출금을 제한하고 거래자들에게 가격 변동성에 대해 경고했습니다. SAND는 약 0.042달러에 거래되었으며 시가총액은 약 1억 2300만 달러였습니다.

암호화폐 뉴스를 단순히 읽는 데 그치지 마세요. 이해하세요. 저희 뉴스레터를 구독하세요. 무료입니다.