SAND-angrepet forklart: Hva betyr egentlig tallet på 49 milliarder dollar?

Hvorfor ble det rapportert om 49 milliarder dollar?

Blockaid rapporterte at SAND til en pålydende verdi på rundt 49 milliarder dollar ble preget gjennom mer enn 400 transaksjoner. «Pålydende verdi» betyr her at mengden nyopprettede tokens verdsettes etter den noterte markedsprisen. Det betyr ikke at angriperen kunne selge alle tokenene til denne prisen.

Et nylig utstedt token kan ha en høy oppgitt verdi, men samtidig mangle nok likviditet til at store salg er mulig. Da angrepet ble oppdaget, begrenset stans i broene, restriksjoner hos børser, oppsplittet likviditet og svekket markedstillit dessuten hvor mye som kunne realiseres.

Annen kjededata-rapportering viste rundt 14,9 milliarder SAND på adresser kontrollert av angriperen, mens en separat rapport anslo at den faktiske uttrekkingen var langt lavere enn overskriften om preging av tokens. Tallene måler ulike ting – nyutstedt mengde, saldoer i lommebøker og realiserte eller potensielt realiserbare inntekter – og kan derfor ikke brukes om hverandre som tapstall.

Det tilgjengelige materialet fastslår ikke én endelig, uavhengig bekreftet sum for hvor mye som faktisk ble hentet ut. Den tryggeste konklusjonen er at den uautoriserte utstedelsen var enorm i nominelle termer, mens det økonomiske tapet var betydelig lavere enn 49 milliarder dollar.

Hvorfor spriker estimatene fra The Sandbox og sikkerhetsselskapene?

The Sandbox beskrev den direkte effekten som mindre enn 0,01 prosent av SANDs totale beholdning på 3 milliarder tokens. Sikkerhetsselskaper og kjedeanalytikere la på sin side vekt på mengden uautoriserte tokens som ble preget, eller som befant seg på adresser knyttet til angriperen.

Utsagnene trenger ikke være motstridende – de måler ikke nødvendigvis samme resultat:

• The Sandbox’ estimat beskriver prosjektets vurdering av den direkte eller realiserbare effekten.
• Blockaids estimat beskriver pålydende verdi av ubundne tokens som ble preget under angrepet.
• Saldoestimater fra kjededata viser tokens som ble observert på adresser knyttet til angriperen.
• Estimater for realiserte tap krever at man fastslår hvor mange tokens som ble solgt, byttet eller brukt til å ta ut andre aktiva.

Før The Sandbox publiserer en etteranalyse og et mer fullstendig regnskap, bør tallene presenteres som ulike målinger av hendelsen – ikke som én samlet og avklart skadesum.

Hvordan stanset The Sandbox angrepet?

The Sandbox opplyste at sårbarheten ble rettet og hendelsen innesluttet. Prosjektet blokkerte overføringer gjennom de berørte krys­skjede broene og deaktiverte brofunksjoner som involverte Base og BNB Smart Chain. Ethereum- og Polygon-versjonene av SAND skulle fortsatt være upåvirket.

Prosjektet sa også at det ville ta et øyeblikksbilde av de berørte likviditetsposisjonene, følge opp kvalifiserte likviditetstilbydere og publisere en detaljert etteranalyse. På tidspunktet for den tilgjengelige rapporteringen var endelige regler for kompensasjon, kvalifikasjonskrav og utbetalingsbeløp ikke offentlig fastsatt.

Brukere bør derfor skille mellom de umiddelbare tiltakene for å stanse angrepet og en eventuell senere plan for tilbakeføring eller kompensasjon. At broene er satt på pause, hindrer videre bruk av den rapporterte angrepsveien, men løser ikke automatisk problemet med tokens som allerede er preget eller tapene likviditetstilbydere kan ha hatt.

Hvordan reagerte kryptobørsene?

Hendelsen utløste føre-var-tiltak hos sørkoreanske børser. Bithumb stanset innskudd og uttak av SAND, mens Upbit utstedte en handelsadvarsel på grunn av uvanlig aktivitet på blokkjeden og mulighet for økt volatilitet.

Enkelte rapporter beskrev SAND-kursen som forholdsvis motstandsdyktig under hendelsen, snarere enn at den kollapset. Markedsreaksjonen beviser likevel ikke at angrepet var økonomisk ufarlig: Handelsbegrensninger og tynn eller isolert likviditet kan forsinke reell prisdannelse. Langtidseffekten avhenger blant annet av hvordan de uautoriserte tokenene og de berørte likviditetspoolene håndteres.

Var dette det samme som LayerZero-angrepet mot KelpDAO?

SAND-hendelsen og KelpDAO-angrepet 18. april involverte begge applikasjoner bygget på LayerZero-basert infrastruktur for transaksjoner på tvers av blokkjeder, men den rapporterte sviktmekanismen var forskjellig.

I KelpDAO-saken ble infrastruktur brukt av et LayerZero-nettverk for desentralisert verifisering kompromittert, og angriperne utnyttet en konfigurasjon med bare én verifikator. Den forfalskede krys­skjede-meldingen førte til at broen frigjorde 116 500 rsETH, verdsatt til rundt 292 millioner dollar på angrepstidspunktet. LayerZero beskrev hendelsen som isolert til KelpDAOs rsETH-konfigurasjon.

SAND-angrepet dreide seg i stedet om delegerte rettigheter i smartkontrakten og misbruk av approveAndCall for å muliggjøre uautorisert preging av tokens. Forskjellen er viktig: Hendelsene illustrerer ulike risikoområder i krys­skjede løsninger – verifiseringsinfrastruktur på den ene siden og kontraktstillatelser eller utformingen av tilgangskontroller på den andre. Det tilgjengelige materialet viser ikke at én og samme feil i LayerZero-protokollen forårsaket begge angrepene.

Den viktigste lærdommen for brukere og utviklere

Det avgjørende skillet går mellom tokens som er opprettet, tokens som finnes på angriperens adresser, og verdier som faktisk er hentet ut. En bro kan svikte på en måte som skaper en enorm nominell tokenmengde uten at angriperen får tilsvarende mye i realiserbare midler. Samtidig kan en mindre utstedelseshendelse fortsatt skade likviditetstilbydere og markedstillit dersom den frigjør eller tapper verdifulle aktiva.

For brukere er de praktiske spørsmålene hvilke nettverk og kontrakter som er berørt, om innskudd og uttak fortsatt er stanset, og om prosjektet har publisert regler for hvem som kan få hjelp eller kompensasjon. For utviklere understreker hendelsen behovet for å granske alle delegerte tillatelser, privilegerte pregefunksjoner og krys­skjede autorisasjonsgrenser – ikke bare selve laget som verifiserer meldinger.