Exploit mostu SAND v The Sandbox: Co skutečně znamená údaj 49 miliard dolarů

Proč se mluví o 49 miliardách dolarů?

Blockaid uvedl, že během více než 400 transakcí vznikl SAND v přibližné nominální hodnotě 49 miliard dolarů. „Nominální hodnota“ zde znamená, že množství nově vytvořených tokenů bylo oceněno aktuální tržní cenou. Neříká však, že by bylo možné celé toto množství za danou cenu prodat.

Nově vyražený token může mít na obrazovce vysokou přepočtenou hodnotu, ale zároveň nemusí mít dostatečnou likviditu. Kdyby se útočník pokusil prodat velké množství najednou, cena by pravděpodobně prudce klesla. Možný výnos navíc omezily odstávky mostů, omezení na burzách, roztříštěná likvidita a pokles důvěry v token.

Jiná on-chain data hovořila přibližně o 14,9 miliardy SAND na adresách kontrolovaných útočníkem. Samostatná analýza odhadovala skutečně vyvedené prostředky výrazně níže. Tyto údaje ale měří různé věci: celkové množství vyražených tokenů, zůstatky na konkrétních adresách a realizovaný nebo potenciálně realizovatelný výnos. Nelze je proto zaměňovat za jediný odhad škody.

Dostupné důkazy zatím nestanovují jednu konečnou a nezávisle ověřenou částku, kterou útočník skutečně získal. Nejbezpečnější závěr zní: neoprávněná emise byla z hlediska nominální hodnoty obrovská, skutečná ekonomická ztráta však byla podstatně menší než 49 miliard dolarů.

Proč se odhady The Sandbox a bezpečnostních firem rozcházejí?

The Sandbox popsal přímý dopad jako méně než 0,01 % z celkové nabídky 3 miliard tokenů SAND. Bezpečnostní firmy a analytici blockchainu naopak upozorňovali na množství neoprávněně vyražených tokenů nebo na zůstatky na adresách spojovaných s útočníkem.

Tato tvrzení si nemusí odporovat. Pravděpodobně totiž popisují různé ukazatele:

• Odhad The Sandbox se týká přímého nebo podle projektu realizovatelného dopadu.
• Odhad Blockaidu vyjadřuje nominální hodnotu nekrytých tokenů vytvořených během útoku.
• On-chain odhady zůstatků zachycují tokeny nalezené na adresách spojovaných s útočníkem.
• Odhad skutečné ztráty by vyžadoval zjistit, kolik tokenů bylo prodáno, směněno nebo použito k výběru jiných aktiv.

Dokud The Sandbox nezveřejní podrobný post-mortem a úplnější účetnictví incidentu, je vhodné prezentovat tato čísla jako různé způsoby měření události, nikoli jako jeden sjednocený údaj o škodě.

Jak The Sandbox útok zastavil?

The Sandbox uvedl, že zranitelnost opravil a incident uzavřel. Zablokoval převody prostřednictvím dotčených cross-chain mostů a deaktivoval bridging mezi SAND na Base a BNB Smart Chain. Ethereum a Polygon podle projektu zůstaly nedotčeny.

Projekt také uvedl, že pořídí snapshot dotčených pozic poskytovatelů likvidity, osloví oprávněné poskytovatele a zveřejní podrobný post-mortem. V době, ke které se vztahují dostupné zprávy, však nebyla veřejně potvrzena konečná pravidla kompenzací, podmínky nároku ani konkrétní částky.

Uživatelé by proto měli rozlišovat mezi okamžitým zastavením útoku a případným pozdějším plánem obnovy či náhrad. Pozastavení mostu zabrání dalšímu využití nahlášené cesty útoku, samo o sobě ale neřeší hodnotu tokenů, které už vznikly, ani případné ztráty poskytovatelů likvidity.

Jak reagovaly burzy?

Incident vedl k preventivním opatřením na jihokorejských kryptoměnových burzách. Bithumb pozastavil vklady a výběry SAND. Upbit vydal obchodní varování kvůli neobvyklé aktivitě na blockchainu a možnosti zvýšené volatility.

Některé zprávy popisovaly cenu SAND během incidentu jako relativně odolnou, nikoli jako cenu, která se okamžitě zhroutila. Stabilnější kurz však neznamená, že byl ekonomický dopad zanedbatelný. Omezení na burzách a nízká či izolovaná likvidita mohou zpozdit skutečné zjištění ceny. Dlouhodobý dopad bude záviset mimo jiné na tom, jak projekt naloží s neoprávněně vytvořenými tokeny a zasaženými pooly.

Šlo o stejný problém jako při exploitu KelpDAO?

Incident SAND a dubnový exploit KelpDAO mají společné to, že se týkaly aplikací postavených na cross-chain infrastruktuře využívající LayerZero. Podle dostupných zpráv však šlo o odlišné typy selhání.

V případě KelpDAO útočníci kompromitovali infrastrukturu využívanou decentralizovanou ověřovací sítí LayerZero (DVN) a zneužili konfiguraci s jediným ověřovatelem. Zfalšovaná cross-chain zpráva následně vedla k uvolnění 116 500 rsETH v tehdejší hodnotě přibližně 292 milionů dolarů. LayerZero popsal incident jako izolovaný problém konfigurace rsETH v KelpDAO.

Událost SAND se naproti tomu soustředila na delegovaná oprávnění chytrého kontraktu a zneužití funkce approveAndCall, které umožnilo neoprávněné ražení tokenů. Rozdíl je důležitý: oba případy ukazují různá rizika cross-chain systémů — na jedné straně ověřovací infrastruktury, na druhé straně autorizace a správy oprávnění v kontraktech. Dostupné důkazy neukazují, že by oba útoky způsobil jeden identický bug v protokolu LayerZero.

Hlavní poučení pro uživatele a vývojáře mostů

Nejdůležitější je rozlišovat mezi vytvořenými tokeny, tokeny drženými útočníkem a hodnotou, kterou skutečně získal. Selhání mostu může vytvořit obrovskou nominální nabídku, aniž by útočník získal odpovídající množství likvidních prostředků. I menší emise však může vážně poškodit poskytovatele likvidity a důvěru trhu, pokud umožní uvolnit nebo odčerpat cenná aktiva.

Pro uživatele jsou klíčové praktické otázky: která síť a který kontrakt byly zasaženy, zda stále platí zákaz vkladů a výběrů a zda projekt zveřejnil pravidla nároku na případnou náhradu. Vývojáři by měli důkladně kontrolovat každé delegované oprávnění, privilegovanou cestu k ražbě tokenů a hranici autorizace mezi jednotlivými chainy — nejen samotnou vrstvu ověřování zpráv.