In der Sandbox wurde eine Sicherheitslücke zwischen verschiedenen Blockchains entdeckt, die es einem Angreifer ermöglichte, ungedeckte SAND-Token auf der Base und der BNB Smart Chain zu erstellen. Dies führte zu einer jener Krypto-Schlagzeilen, die auf den ersten Blick physikalisch unmöglich erscheinen: Sicherheitsforscher zählten Milliarden neu geschaffener SAND-Token, deren Nominalwert auf etwa 49 Milliarden US-Dollar geschätzt wird.

Nein, kein Angreifer hat 49 Milliarden Dollar aus The Sandbox gestohlen. Es gab dort nie 49 Milliarden Dollar an realem Wert, die zur Auszahlung bereitlagen. Die Zahl entstand durch die Anwendung des normalen Marktpreises von SAND auf eine absurde Menge an Token, die ohne Sicherheiten geschaffen worden waren.

Diese Unterscheidung steht im Mittelpunkt dieser Geschichte.

Was der Angreifer tatsächlich vorfand

Die betroffene Infrastruktur war die Cross-Chain-Version von SAND, die auf der Base- und der BNB Smart Chain verwendet wird. In einer normalen Bridge-Konfiguration ist SAND auf Ethereum gesperrt, und eine entsprechende Menge kann dann in einem anderen unterstützten Netzwerk existieren. Das Angebot in der Ziel-Chain soll weiterhin durch die ursprünglichen Token gedeckt sein.

Laut dem Blockchain-Sicherheitsunternehmen Blockaid hat der Angreifer die mit dem Omnichain-Fungible-Token-Vertrag von SAND verbundenen Delegiertenberechtigungen von LayerZero übernommen und diese genutzt. approveAndCall Funktion zum Prägen von Token, denen kein entsprechendes SAND-geschütztes Token zugeordnet war. Blockaid markiert Während des Angriffs wurden Münzen im Nennwert von rund 49 Milliarden Dollar in mehr als 400 Transaktionen geprägt.

PeckShield zählte später rund 14.9 Milliarden SAND, die über zwei Angreiferadressen geschürft worden waren. Zum Vergleich: Die offizielle maximale Gesamtmenge an SAND beträgt lediglich 3 Milliarden Token. Die von PeckShield identifizierte gefälschte Menge war somit fast fünfmal so hoch wie die ursprünglich vorgesehene maximale Gesamtmenge.

Die Kryptoindustrie hat viele kreative Wege gefunden, die Darstellung des Tokenangebots zu verfälschen. Die Schaffung eines Angebots im Wert mehrerer zusätzlicher Token-Lebenszyklen durch einen einzigen Exploit ist sicherlich einer davon.

Warum 49 Milliarden Dollar nie wirklich 49 Milliarden Dollar waren

Zum Zeitpunkt des Vorfalls betrug die gesamte Marktkapitalisierung von SAND lediglich rund 140 Millionen US-Dollar. Offensichtlich war auf Base, der BNB Chain, zentralisierten Börsen oder anderswo bei Weitem nicht genügend Liquidität vorhanden, um aus zig Milliarden neu geschaffener Token zig Milliarden US-Dollar zu generieren.

Wenn jemand 10 Milliarden ungedeckte Token erstellt und der legitime Token bei fünf Cent gehandelt wird, kann ein Block-Explorer einen theoretischen Wert von 500 Millionen Dollar anzeigen. Das bedeutet aber nicht, dass es Käufer gibt, die bereit sind, 500 Millionen Dollar zu zahlen. Bei einem solchen Exploit wird der angezeigte Wert mit zunehmendem unautorisiertem Angebot immer fiktiver.

Die wirtschaftlich relevanten Fragen sind, wie viel legitime Liquidität der Angreifer erlangen konnte, ob vor der Eindämmung gedeckte Token oder andere Vermögenswerte entwichen sind und wer die betroffenen Liquiditätspositionen hielt. Die Sandbox hat noch keinen vollständigen technischen Abschlussbericht oder eine endgültige, geprüfte Schadenssumme veröffentlicht.

Die Sandbox schloss die Türen zu Base und BNB Chain

Die Sandbox gab an, die Sicherheitslücke identifiziert und eingedämmt zu haben, die Verbindung zu und von Base und BNB Smart Chain deaktiviert und SAND auf diesen Netzwerken isoliert zu haben, sodass die betroffenen Token nicht über die offizielle Brücke transferiert oder eingelöst werden können.

Das Unternehmen gab außerdem bekannt, dass SAND auf Ethereum und Polygon nicht betroffen sei, keine Nutzer-Wallets kompromittiert wurden und die auf Ethereum gehaltenen SAND-Token, die legitime Bridged-Token decken, weiterhin intakt seien. Es warnte Nutzer davor, SAND auf Base oder der BNB Smart Chain zu kaufen, zu verkaufen oder zu handeln, solange die Liquidität in diesen Netzwerken beeinträchtigt sei. Der Bericht von CoinDesk wies zudem darauf hin, dass Upbit und Bithumb nach dem Vorfall Ein- und Auszahlungen von SAND ausgesetzt haben.

Das Team erstellt eine Momentaufnahme vor dem Vorfall und bereitet Entschädigungen für berechtigte Nutzer der betroffenen Liquiditätspools vor. Ein vollständiger Vorfallsbericht und eine technische Nachanalyse werden noch erwartet.

Eine Zahl bedarf noch der Klärung.

Die Sandbox beschrieb die Auswirkungen als weniger als 0.01 % des gesamten SAND-Angebots. Bei einem maximalen Angebot von 3 Milliarden Token wären 0.01 % weniger als 300,000 SAND.

Dies beschreibt eindeutig nicht die Gesamtzahl der unautorisiert erzeugten Token, da unabhängige Sicherheitsfirmen Milliarden festgestellt haben. Am plausibelsten ist, dass The Sandbox mit „Auswirkung“ den betroffenen legitimen Wert und nicht die Menge der erzeugten gefälschten Token beschreibt. Das Unternehmen hat diese Zahlen noch nicht vollständig öffentlich aufgeklärt, daher sollten Anleger die Angabe von 0.01 % nicht als Maß für die Token-Erzeugungsaktivität des Exploits interpretieren.

Diese Unterscheidung ist wichtig, da Schlagzeilen leicht von einer falschen Interpretation in die andere abdriften können. Es wäre falsch, von einem Diebstahl in Höhe von 49 Milliarden Dollar zu sprechen. Es als unbedeutende Eroberung abzutun, nur weil das Projekt angibt, die Auswirkungen lägen unter 0.01 %, würde die tatsächlichen Geschehnisse ebenfalls verschleiern.

Die Schwachstelle war die Kreuzkettenschicht.

Ethereum SAND selbst wurde nicht kompromittiert. Der Exploit zielte auf die Mechanismen ab, die die Existenz von SAND-Repräsentationen in anderen Netzwerken ermöglichen. Dies ist ein bekanntes Muster in der Kryptosicherheit: Die zugrundeliegende Blockchain oder der Token kann wie vorgesehen funktionieren, während Berechtigungen in einer Bridge eine völlig separate Angriffsfläche schaffen.

Das technische Problem ist besonders wichtig, da der Angriff LayerZero-bezogene Delegierungsberechtigungen betraf. Das bedeutet jedoch nicht automatisch, dass LayerZero selbst kompromittiert wurde. Die vorliegenden Berichte deuten auf Berechtigungen im Zusammenhang mit der SAND OFT-Bereitstellung von The Sandbox hin. Die abschließende Untersuchung muss genau aufklären, wo die Kontrolle versagte, wie die Delegierungsberechtigung erlangt wurde und warum der Prägungsprozess diese akzeptierte.

Bis dieser Bericht vorliegt, sollten sich Händler auf die feststellbaren Fakten konzentrieren: Ungedeckte SAND wurden auf Base und BNB Smart Chain geprägt, die betroffenen Bridge-Routen wurden deaktiviert, Ethereum und Polygon SAND wurden als sicher gemeldet, und die atemberaubende Summe von 49 Milliarden Dollar bezieht sich auf den theoretischen Nennwert und nicht auf gestohlenes Geld.

Der Exploit mag sich letztendlich als finanziell geringfügig erweisen, doch der Fehler bei der Berechtigungsprüfung war alles andere als geringfügig. Wenn eine Bridge ein Vielfaches des maximalen Token-Angebots erzeugen kann, bevor jemand den Stoppknopf drückt, ist die Analyse des Vorfalls fast genauso wichtig wie der Entschädigungsplan.

---------------

Autor: Cedric Holloway
New Yorker Nachrichtenredaktion
Aktuelle Crypto News