Yeliz Akmaca 
The Sandbox, köprü altyapısındaki bir açık nedeniyle saldırıya uğradı. Saldırgan 329,24 trilyon karşılıksız SAND üretirken Ethereum tarafındaki kasadan yaklaşık 675 bin dolar çıkarabildi.
The Sandbox’ın SAND tokenını farklı ağlar arasında taşıyan köprü altyapısındaki açık, 21 ve 22 Ağustos’ta saatler süren bir token basım zincirine yol açtı. Security firması Blockaid, saldırganın ürettiği tokenların nominal değerini yaklaşık 49 milyar dolar olarak hesapladı.
Gerçek kayıp ise bunun çok altında kaldı. Saldırgan, Ethereum’daki OFT Adapter’dan yaklaşık 14,75 milyon SAND çekebildi ve bunları yaklaşık 80 ETH’ye dönüştürdü. İşlemler sırasında bu miktarın değeri yaklaşık 675 bin dolardı.
SAND Açığı Nasıl Kullanıldı?
Saldırının merkezinde Base ağındaki SAND sözleşmesinde bulunan approveAndCall fonksiyonu yer aldı. Saldırgan, hazırladığı özel bir işlem üzerinden LayerZero delegate yetkilerini ele geçirdi ve Base üzerindeki token basım sürecine erişim sağladı.
Normal köprü mekanizmasında bir ağda varlık kilitlenirken veya yakılırken diğer tarafta buna karşılık gelen token basılıyor. Buradaki açık ise saldırganın kaynak zincirde karşılık gelen bir işlem olmadan yeni SAND üretmesine imkan verdi.
The Sandbox’ın olay sonrası incelemesine göre saldırıda private key’ler ele geçirilmedi ve kullanıcı cüzdanlarına erişim sağlanmadı. Sorun doğrudan sözleşme yapısı ve köprü yapılandırmasından kaynaklandı.
Saldırgan yaklaşık beş saat boyunca 703 ayrı işlemde 329,24 trilyon SAND bastı. Üretimin ana kısmı Base üzerinde gerçekleşirken BNB Smart Chain de etkilendi. Ethereum ve Polygon’daki meşru SAND arzına ise dokunulmadı.
49 Milyar Dolarlık Token Nasıl 675 Bin Dolara Dönüştü?
İlk bakışta 329 trilyon SAND’ın piyasa fiyatıyla çarpılması, saldırıyı 49 milyar dolarlık bir olay gibi gösteriyor. Fakat zincirde basılan bir tokenın ekranda görünen değeri, o varlığın gerçekten satılabileceği anlamına gelmiyor.
Saldırganın asıl çıkarabildiği miktar yaklaşık 14,75 milyon SAND oldu. Bu tokenlar Ethereum’daki OFT Adapter’dan 60 saniyeden kısa sürede çekildi ve yaklaşık 80 ETH’ye dönüştürüldü. Saldırgan, 26 ayrı işlemde likidite havuzundaki ETH’nin yaklaşık yüzde 90’ını almaya çalıştı.
İlginç bir ayrıntı da saldırının ne kadar hesaplı hazırlandığını gösteriyor. Saldırgan, vault’ta bulunan SAND miktarından yalnızca 100 token daha azını, yani 14.743.364,21 SAND’ı basmayı hedefledi. Ancak araya giren bir arbitraj botu işlemleri bozdu ve saldırganın eline yaklaşık 14,10 milyon SAND geçti.
Base üzerinde basılan trilyonlarca ek token ise gerçek bir satış değerine dönüşemedi. The Sandbox köprüyü kapattı ve Base üzerindeki likidite havuzlarında bu arzı karşılayabilecek kadar varlık bulunmuyordu.
Buradaki fark kritik: 49 milyar dolar, basılan tokenların nominal değeri. Gerçek çıkarım yaklaşık 675 bin dolar.
The Sandbox Sonrasında Ne Yaptı?
The Sandbox, saldırının ardından Base ve BNB Smart Chain üzerindeki köprü işlemlerini devre dışı bıraktı. Ekip ayrıca LayerZero peer ayarlarını multisig yönetişim üzerinden kaldırarak yeni cross-chain mesajlarının işlenmesini engelledi.
Proje, Ethereum ve Polygon’daki SAND’ın etkilenmediğini açıkladı. Ethereum’da köprülenmiş SAND’ı destekleyen varlıkların da olay boyunca yerinde kaldığı belirtildi. Kullanıcı cüzdanlarının ele geçirilmediği de özellikle vurgulandı.
Upbit ve Bithumb, 22 Ağustos’ta SAND yatırma ve çekme işlemlerini askıya aldı. Upbit, Ethereum tarafındaki transferleri de durdurdu. Coinbase ise SAND perpetual vadeli işlemlerini listeden çıkardı.
The Sandbox daha sonra etkilenen kullanıcılar için 1:1 tazminat planı açıkladı. Hazineden karşılanacak bu ödemede yeni SAND basılmayacak. Base veya BNB Smart Chain üzerinde saldırıdan önce meşru biçimde köprülenmiş SAND tutan kullanıcılar kapsamda olacak. Büyük borsaların, etkilenen bakiyelerin yüzde 72’den fazlasını doğrudan müşterilerine dağıtması planlanıyor; diğer kullanıcıların ise ayrı bir talep portalından başvurması gerekecek.
Saldırının teknik yöntemi henüz ayrıntılı biçimde açıklanmış değil. Ancak The Sandbox’ın yaşadığı olayda dikkat çeken nokta açık: zincir üzerinde yüzlerce trilyon yeni token üretilebilse bile saldırganın gerçek kazancı, karşılaşabileceği likiditeyle sınırlı kalıyor.
Bu içerik genel piyasa verilerine dayanır ve yatırım tavsiyesi değildir. Kendi araştırmanızı yapmanızı öneririz.
Son Dakika kripto para haberleri için hemen tıkla.
Konu ile ilgili yorumlarınızı bize yazabilirsiniz. Ayrıca, bu tarz bilgilendirici içeriklerin devamının gelmesini isterseniz, bizleri Telegram, Youtube ve Twitter kanallarımızdan takip edebilirsiniz.