SAND-bridge van The Sandbox gehackt: wat betekent die $49 miljard werkelijk?

Waar komt het bedrag van 49 miljard dollar vandaan?

Blockaid meldde dat in ruim 400 transacties ongeveer 49 miljard dollar aan SAND op basis van de marktprijs was gemint. Met ‘nominale waarde’ wordt bedoeld dat de hoeveelheid nieuw gecreëerde tokens tegen een actuele koers wordt gewaardeerd. Dat betekent niet dat een aanvaller al die tokens tegen die koers kon verkopen.

Een token kan op papier een enorme waarde vertegenwoordigen, terwijl er onvoldoende liquiditeit is om grote verkooporders op te vangen. Nadat de exploit was ontdekt, beperkten het stilleggen van de bridges, handelsbeperkingen bij exchanges, versnipperde liquiditeit en het verlies van vertrouwen bovendien de hoeveelheid waarde die mogelijk kon worden gerealiseerd.

Andere on-chainanalyses spraken over ongeveer 14,9 miljard SAND op adressen die aan de aanvaller werden gelinkt. Een afzonderlijk rapport schatte dat de werkelijk onttrokken hoeveelheid veel lager lag dan het bedrag uit de krantenkoppen. Deze cijfers hebben betrekking op verschillende zaken: geminte tokens, walletbalansen en gerealiseerde of mogelijk realiseerbare opbrengsten. Ze mogen daarom niet als uitwisselbare verliesramingen worden gezien.

Op basis van de beschikbare informatie is er geen definitief, onafhankelijk geverifieerd bedrag voor de totale buit. De meest voorzichtige conclusie is dat de ongeautoriseerde uitgifte in nominale termen enorm was, maar dat het economische verlies aanzienlijk lager lag dan 49 miljard dollar.

Waarom verschillen de impactschattingen?

The Sandbox omschreef de directe impact als minder dan 0,01 procent van de totale SAND-voorraad van 3 miljard tokens. Beveiligingsbedrijven en on-chainanalisten benadrukten daarentegen hoeveel ongeautoriseerde tokens waren gemint of op adressen van de aanvaller stonden.

Die uitspraken meten niet noodzakelijk hetzelfde:

• De schatting van The Sandbox gaat over de beoordeling van de directe of realiseerbare impact door het project.
• De schatting van Blockaid betreft de nominale waarde van de ongedekte tokens die tijdens de aanval zijn gecreëerd.
• On-chainbalansen laten zien hoeveel tokens werden waargenomen op adressen die met de aanvaller in verband werden gebracht.
• Een raming van het gerealiseerde verlies vereist onder meer inzicht in hoeveel tokens zijn verkocht, geruild of gebruikt om andere activa op te nemen.

Zolang The Sandbox geen volledige post-mortem en financiële reconstructie publiceert, moeten deze cijfers worden gepresenteerd als verschillende metingen van hetzelfde incident — niet als één definitief schadebedrag.

Hoe werd de aanval gestopt?

The Sandbox meldde dat de kwetsbaarheid was verholpen en ingeperkt. Het project blokkeerde transfers via de getroffen cross-chain bridges en schakelde bridging met Base en BNB Smart Chain uit. Ethereum en Polygon bleven volgens The Sandbox buiten schot.

Het project gaf daarnaast aan een momentopname — een zogenoemde snapshot — van de getroffen liquiditeitsposities te maken, in contact te treden met in aanmerking komende liquiditeitsverschaffers en een uitgebreid technisch rapport te publiceren. Op het moment waarop de beschikbare berichtgeving betrekking had, waren de definitieve compensatieregels, voorwaarden en bedragen nog niet openbaar vastgesteld.

Gebruikers moeten daarom onderscheid maken tussen de directe noodmaatregelen en een eventueel later herstel- of compensatieplan. Het pauzeren van de bridge voorkomt verder misbruik van de gemelde route, maar lost niet automatisch de gevolgen op van tokens die al zijn gecreëerd of verliezen die liquiditeitsverschaffers hebben geleden.

Wat deden exchanges?

De gebeurtenis leidde tot voorzorgsmaatregelen bij Zuid-Koreaanse cryptobeurzen. Bithumb schortte stortingen en opnames van SAND op. Upbit gaf een handelswaarschuwing vanwege afwijkende on-chainactiviteit en de mogelijkheid van extra volatiliteit.

Sommige marktberichten beschreven de koers van SAND tijdens het incident als relatief veerkrachtig, in plaats van als een markt die volledig instortte. Dat betekent niet dat de exploit economisch onschadelijk was. Handelsbeperkingen en dunne of geïsoleerde liquiditeit kunnen de prijsvorming tijdelijk vertragen. Het langetermijneffect hangt mede af van de manier waarop de ongeautoriseerde tokens en getroffen liquiditeitspools worden afgehandeld.

Was dit hetzelfde als de LayerZero-exploit bij KelpDAO?

De SAND-gebeurtenis en de exploit bij KelpDAO op 18 april hadden allebei te maken met applicaties die LayerZero-gebaseerde cross-chaininfrastructuur gebruikten. De gemelde foutmechanismen waren echter verschillend.

Bij KelpDAO kregen aanvallers toegang tot infrastructuur die werd gebruikt door een LayerZero Decentralized Verifier Network (DVN), een netwerk dat cross-chainberichten controleert. Vervolgens maakten zij misbruik van een configuratie met slechts één verifier. Een vervalst cross-chainbericht leidde ertoe dat de bridge 116.500 rsETH vrijgaf, destijds ongeveer 292 miljoen dollar waard. LayerZero beschreef het incident als beperkt tot de rsETH-configuratie van KelpDAO.

Bij SAND draaide de aanval juist om gedelegeerde rechten in smart contracts en het misbruik van approveAndCall om ongeautoriseerde tokencreatie mogelijk te maken. Dat onderscheid is belangrijk. De twee incidenten laten verschillende risico’s zien in cross-chainprojecten: aan de ene kant de infrastructuur voor berichtverificatie, aan de andere kant contractrechten en het ontwerp van autorisaties. De beschikbare informatie toont niet aan dat één identieke bug in het LayerZero-protocol beide aanvallen veroorzaakte.

De belangrijkste les voor gebruikers en ontwikkelaars

De kern is het onderscheid tussen gecreëerde tokens, tokens die een aanvaller in bezit heeft en waarde die daadwerkelijk is buitgemaakt. Een bridge kan een enorme nominale voorraad creëren zonder dat de aanvaller een vergelijkbaar bedrag aan besteedbare opbrengsten kan realiseren. Omgekeerd kan een kleinere uitgifte alsnog grote schade veroorzaken aan liquiditeitsverschaffers en het vertrouwen in de markt.

Voor gebruikers zijn vooral deze vragen van belang: welke chain en welk contract zijn getroffen, zijn stortingen en opnames nog gepauzeerd, en heeft het project duidelijke regels voor compensatie en herstel gepubliceerd? Voor ontwikkelaars onderstreept het incident hoe belangrijk het is om elke gedelegeerde toestemming, elk bevoorrecht mintingpad en elke autorisatiegrens tussen blockchains kritisch te controleren — niet alleen de laag die berichten verifieert.