📉 Sandbox взломали через кросс-чейн мост и наминтили миллиарды необеспеченных SAND
PeckShield сообщил о подозрительном выпуске около 14,9 млрд $SAND сразу на двух адресах. Позже стало понятно, что проблема была в кросс-чейн инфраструктуре на Base и BNB.
Атакующий получил контроль над правами LayerZero delegate через функцию approveAndCall. Эти права позволяют управлять выпуском токенов на другой сети. В результате злоумышленник смог создавать $SAND на Base и BSC без соответствующего обеспечения на ETH.
По ончейн-оценкам, из Ethereum-адаптера удалось вывести около 14,75 млн $SAND, примерно на $650–675 тыс. The Sandbox заявила, что общий эффект составил менее 0,01% саплая SAND, а пользовательские кошельки и токены на ETH и Polygon не пострадали.
Команда полностью отключила мосты в Base и BSC, поэтому выпущенные там токены сейчас изолированы и не могут быть выведены обратно через официальный мост. Пользователей также попросили не торговать $SAND в этих сетях, а пострадавшим провайдерам ликвидности готовят компенсацию.
Похожий по логике хак был с KelpDAO в апреле, когда потери составили около $290 млн.
PeckShield сообщил о подозрительном выпуске около 14,9 млрд $SAND сразу на двух адресах. Позже стало понятно, что проблема была в кросс-чейн инфраструктуре на Base и BNB.
Атакующий получил контроль над правами LayerZero delegate через функцию approveAndCall. Эти права позволяют управлять выпуском токенов на другой сети. В результате злоумышленник смог создавать $SAND на Base и BSC без соответствующего обеспечения на ETH.
По ончейн-оценкам, из Ethereum-адаптера удалось вывести около 14,75 млн $SAND, примерно на $650–675 тыс. The Sandbox заявила, что общий эффект составил менее 0,01% саплая SAND, а пользовательские кошельки и токены на ETH и Polygon не пострадали.
Команда полностью отключила мосты в Base и BSC, поэтому выпущенные там токены сейчас изолированы и не могут быть выведены обратно через официальный мост. Пользователей также попросили не торговать $SAND в этих сетях, а пострадавшим провайдерам ликвидности готовят компенсацию.
Похожий по логике хак был с KelpDAO в апреле, когда потери составили около $290 млн.