แซนด์(SAND) รั่วกว่า 14.7 ล้านเหรียญ เดอะแซนด์บ็อกซ์ชดเชย 1 ต่อ 1

เดอะแซนด์บ็อกซ์ (The Sandbox) ประกาศชดเชยความเสียหายให้กับผู้ใช้ที่ได้รับผลกระทบจากช่องโหว่บนบริดจ์ของเบส (Base) และบีเอ็นบีเชน (BNB Chain) ในอัตรา 1 ต่อ 1 ด้วยเหรียญแซนด์(SAND) หลังพบว่ามีแซนด์(SAND) ที่ไม่มีหลักประกันหลุดออกจากคลังบนอีเธอเรียม(ETH) รวมทั้งสิ้น 14,742,341.84 เหรียญ คิดเป็นมูลค่าประมาณ 697,000 ดอลลาร์

เดอะแซนด์บ็อกซ์เปิดเผยรายงานวิเคราะห์เหตุการณ์หลังเกิดเหตุ (post-mortem) เมื่อวันที่ 27 (เวลาท้องถิ่น) ระบุว่า ต้นตอของปัญหาอยู่ที่การตั้งค่าบริดจ์ผิดพลาดในสัญญาเหรียญแซนด์(SAND) ที่ติดตั้งบนเครือข่ายเบสและบีเอ็นบีเชน ผู้โจมตีใช้ช่องโหว่นี้ลงทะเบียนตัวเองเป็นผู้ตรวจสอบข้อความบริดจ์เพียงรายเดียว ก่อนจะสร้างแซนด์(SAND) ที่ไม่มีหลักประกันขึ้นมาบนทั้งสองเครือข่าย

เหตุการณ์นี้เกิดขึ้นเมื่อวันที่ 21 สิงหาคมที่ผ่านมา และทีมงานได้ระงับบริดจ์ระดับสัญญาบนเครือข่ายที่ได้รับผลกระทบตั้งแต่วันที่ 22 สิงหาคม เพื่อสกัดไม่ให้แซนด์(SAND) ที่ไม่มีหลักประกันเคลื่อนย้ายออกไปเพิ่มเติม

จากการตรวจสอบพบว่า หลังสร้างเหรียญขึ้นมาแล้ว ผู้โจมตีนำแซนด์(SAND) บางส่วนไปขายบนกระดานเทรดแบบกระจายศูนย์บนเครือข่ายเบส และยังใช้ข้อความบริดจ์ปลอมเผาแซนด์(SAND) ที่ไม่มีหลักประกัน เพื่อถอนหลักประกันจริงออกจากคลังบนอีเธอเรียมอีกด้วย

สำนักข่าว AB Media รายงานว่า ผู้โจมตีสามารถเปลี่ยนโทเคนที่ไม่มีหลักประกันเป็นเงินสดได้ราว 327.59 WETH จากการขายบนเครือข่ายเบส ขณะที่ในกระบวนการตรวจสอบยังพบกรณีที่บอทเก็งกำไรของบุคคลภายนอกเข้าซื้อแซนด์(SAND) ที่ไม่มีหลักประกันไปบางส่วน ก่อนดำเนินการแลกคืนสำเร็จ

เดอะแซนด์บ็อกซ์ระบุว่า การชดเชยครั้งนี้จะยึดตามยอดคงเหลือแซนด์(SAND) ที่ผ่านการบริดจ์อย่างถูกต้องก่อนเกิดเหตุ โดยจะจ่ายคืนเป็นแซนด์(SAND) บนเครือข่ายอีเธอเรียมจากคลังของโปรเจกต์ และ 'จะไม่มีการสร้างโทเคนใหม่' ขึ้นมาเพิ่ม

ปริมาณอุปทานสูงสุดของแซนด์(SAND) ที่ 3,000 ล้านเหรียญยังคงเดิม บริษัทย้ำว่าการชดเชยครั้งนี้เป็นเพียงมาตรการเยียวยาโดยใช้เหรียญที่มีอยู่ในคลัง ไม่ใช่การออกเหรียญใหม่แต่อย่างใด

ยอดคงเหลือของผู้ได้รับผลกระทบกว่า 72% อยู่บนกระดานเทรดแบบรวมศูนย์เพียงสองแห่งคือ คอยน์เบส(COIN) และไบแนนซ์ ผู้ใช้ของทั้งสองแพลตฟอร์มจะได้รับการชดเชยผ่านทางเอ็กซ์เชนจ์นั้น ๆ โดยตรง

ส่วนผู้ถือครองที่มีสิทธิ์รายอื่น เช่น ผู้ใช้กระเป๋าส่วนบุคคล สามารถยื่นคำร้องผ่านหน้าเว็บเฉพาะสำหรับการเคลม ซึ่งจะเปิดให้ใช้งานภายใน 2 สัปดาห์หลังการเผยแพร่รายงานวิเคราะห์ และจะเปิดรับคำร้องเป็นเวลา 2 สัปดาห์นับจากวันที่เปิดใช้งาน

บริดจ์คือกลไกที่เชื่อมโยงการเคลื่อนย้ายสินทรัพย์ระหว่างบล็อกเชนที่ต่างกัน โดยทั่วไปทำงานด้วยการล็อกสินทรัพย์บนเครือข่ายหนึ่ง แล้วออกโทเคนที่มีมูลค่าเทียบเท่าบนอีกเครือข่ายหนึ่ง หากการตั้งค่าการตรวจสอบผิดพลาด ก็อาจนำไปสู่การสร้างโทเคนที่ไม่มีหลักประกันได้เช่นในกรณีนี้

ประเด็นสำคัญของเหตุการณ์นี้ไม่ได้อยู่ที่การสร้างแซนด์(SAND) ที่ไม่มีหลักประกันเพียงอย่างเดียว แต่อยู่ที่ปริมาณหลักประกันจริงที่ถูกถอนออกจากคลังบนอีเธอเรียม เดอะแซนด์บ็อกซ์ยืนยันว่าแซนด์(SAND) ที่สร้างขึ้นโดยไม่มีหลักประกันนั้นไม่สามารถแลกคืนจากคลังบนอีเธอเรียม หรือย้ายผ่านบริดจ์ทางการได้อีกต่อไป

เดอะแซนด์บ็อกซ์จะระงับสัญญาบริดจ์เดิมที่ได้รับผลกระทบอย่างถาวร และหากมีการเปิดบริดจ์บนเบสและบีเอ็นบีเชนอีกครั้งในอนาคต ทีมงานจะติดตั้งสัญญาใหม่ทั้งหมด

สำหรับแซนด์(SAND) บนเครือข่ายอีเธอเรียมและโพลิกอน(POL) ไม่ได้รับผลกระทบจากช่องโหว่ครั้งนี้ และเดอะแซนด์บ็อกซ์ยืนยันว่าคีย์อย่างเป็นทางการของโปรเจกต์ไม่ได้รั่วไหลออกไปแต่อย่างใด

ก่อนหน้านี้ในเกาหลีใต้ Upbit เคยประกาศระงับการฝากถอนและแจ้งเตือนความเสี่ยงในการเทรดแซนด์(SAND) เนื่องจากปัญหาด้านความปลอดภัยดังกล่าว โดยในตอนนั้นเดอะแซนด์บ็อกซ์ระบุว่าได้ปิดกั้นช่องโหว่บนบริดจ์ข้ามเชนของแซนด์(SAND) ระหว่างเบสและบีเอ็นบีสมาร์ทเชนไปแล้ว

เหตุการณ์ครั้งนี้ถือเป็นความคืบหน้าต่อจากรายงานก่อนหน้านี้ของ TokenPost ที่เคยรายงานล่วงหน้าถึงแผนการชดเชยของเดอะแซนด์บ็อกซ์ ซึ่งล่าสุดมีความชัดเจนมากขึ้นทั้งในแง่ขนาดความเสียหายและวิธีการชดเชย เดอะแซนด์บ็อกซ์ระบุว่าได้แจ้งกระเป๋าเงินของผู้โจมตีให้กับ TRM แล็บส์ (TRM Labs) และเชนอนาลิซิส (Chainalysis) แล้ว พร้อมทั้งประสานงานกับเอ็กซ์เชนจ์แบบรวมศูนย์เพื่อระงับการฝากถอนบนเครือข่ายที่ได้รับผลกระทบ