Новости

В Web3-сообществе произошёл инцидент, затронувший один из заметных проектов в сфере метавселенных — The Sandbox. Речь о несанкционированном доступе к кроссчейн-контракту, который отвечает за перемещение токенов SAND между разными блокчейнами. Целью атаки стал OFT-контракт (Omnichain Fungible Token), размещённый в сети Base, относящейся к экосистеме Coinbase.

Аналитики из Blockaid, занимающиеся безопасностью децентрализованных приложений, выяснили: злоумышленники получили доступ к механизму делегированных полномочий, связанному с протоколом LayerZero. Эта система позволяет сторонним лицам действовать от имени других участников, чем и воспользовались хакеры, обойдя стандартную проверку. Они задействовали функцию approveAndCall, обычно упрощающую взаимодействие контрактов, но здесь она послужила инструментом для выпуска токенов без какого-либо обеспечения.

Сначала сообщалось о 500 млн SAND — около 16,7% от общего объёма в 3 млрд. Однако позже PeckShield, отслеживающая блокчейн-операции, обнаружила на двух связанных с атакой адресах уже 14,9 млрд SAND. В Blockaid уточнили, что в долларовом выражении суммарный объём сгенерированных токенов достиг 49 млрд, а на это ушло более 400 транзакций.

Реальный ущерб оказался куда скромнее номинальных цифр. Основные потери пришлись на Эфириум-адаптер OFT, откуда вывели 14,75 млн SAND — примерно 675 тыс. долларов на тот момент. Часть средств уже переведена в ETH (около 79,74 монет). Огромная масса созданных токенов так и осталась неликвидной и не попала на открытые рынки.

Биржи отреагировали оперативно. Bithumb приостановила депозиты и вывод SAND, Upbit выпустила предупреждение о caution при операциях с активом. Меры были превентивными, чтобы избежать ценовых скачков и спекуляций.

Разработчики The Sandbox опубликовали заявление: уязвимость касалась только моста между Base и BNB Smart Chain (бывший BSC). Эфириум и Polygon не пострадали, кошельки пользователей целы. Токены, заблокированные в основной сети Эфириума, в безопасности. Команда отключила переводы между Base и BSC, заблокировав дальнейшую эмиссию. Сообществу рекомендовали воздержаться от торговли SAND в этих сетях до восстановления. Также обещано возмещение потерь провайдерам ликвидности.

Рынок отреагировал сдержанно: SAND подешевел на 2,6% до 0,04661, капитализация составила 136,6 млн. Суточный объём торгов вырос на 239,5% — до 88,3 млн, что говорит о повышенном интересе трейдеров.

Это не первый случай для The Sandbox. В 2025 году взломали твиттер-аккаунт руководителя проекта для фишинговой раздачи токенов. Годом ранее компания провела реструктуризацию: сменила руководство и сократила более половины штата, сославшись на падение интереса к метавселенным.