利用 Sandbox 跨链桥漏洞，在 Base 和 BSC 上铸造了 149 亿枚无资产支持的 SAND

The Sandbox 是 SAND 代币背后的元宇宙游戏平台。8 月 21 日，该平台控制住了一起跨链桥漏洞利用事件。攻击者利用漏洞，在 Base 和 BNB Smart Chain（BSC）网络上铸造了约 149 亿枚没有资产支持的 SAND 代币。攻击者利用了跨链桥铸造机制中的漏洞，在两个网络上创建了没有实际支撑的代币。The Sandbox 发现问题后立即禁用了 Base 和 BSC 上的跨链桥，阻止未经授权的代币进一步转移。今年上半年，跨链桥漏洞利用事件已导致整个加密货币行业损失超过 3.2 亿美元，攻击者正越来越多地将目标对准连接不同区块链的智能合约。

攻击者利用 Base 和 BSC 跨链桥的铸造机制

The Sandbox 的跨链桥存在影响 Base 和 BNB Smart Chain（BSC）的漏洞。攻击者利用跨链桥的铸造机制，在两个网络上创建了没有实际资产支持的 SAND 代币。The Sandbox 发现漏洞利用后立即禁用了 Base 和 BSC 上的跨链桥，切断了攻击者进一步转移伪造代币的能力。

The Sandbox 的跨链桥基础设施通常通过在一条链上（通常是 Ethereum）锁定 SAND，然后在目标网络上铸造等量且有充分资产支持的代币来运作。这种 1:1 的支持模式在此次事件中失效，导致 Base 和 BSC 上的代币可以在源链没有对应锁定资产的情况下被铸造。

The Sandbox 表示，按面临风险的实际支持资产计算，此次事件影响的资产占 SAND 总供应量的不到 0.01%。该公司表示，Ethereum 和 Polygon 上持有的 SAND、整个生态系统中的用户钱包，以及为该代币提供支持的 Ethereum 锁定资产，在整个漏洞利用过程中均未受到影响。

PeckShield 发现两个地址中有 149 亿枚无资产支持的 SAND

PeckShield 发现，与此次漏洞利用有关的两个地址共铸造了约 149 亿枚没有资产支持的 SAND。考虑到 SAND 的最大供应量为 30 亿枚，这一数字的规模十分惊人，意味着铸造量几乎是所有已经存在或将要存在的真实 SAND 代币总量的五倍。

这种不匹配在跨链桥漏洞利用事件中很常见，因为攻击者操纵的是智能合约的铸造函数，而不是实际窃取锁定的抵押品。今年，其他协议也遭遇了类似的铸造型攻击，包括年初的一起跨链桥漏洞利用事件，攻击者借此在 Polkadot 的跨链桥上铸造了 10 亿枚未经授权的 DOT 代币；以及另一起规模较小的事件，攻击者在 Alephium 跨链桥上创建了约 1376 万枚没有资产支持的 ALPH 代币。

该平台正在为持有因无资产支持的代币铸造而受到影响头寸的合资格流动性提供者制定补偿计划，并建议用户在跨链桥恢复之前不要在 Base 或 BSC 上交易 SAND。

跨链桥漏洞利用导致行业损失超过 3.2 亿美元

今年上半年，跨链桥漏洞利用事件已导致整个加密货币行业损失超过 3.2 亿美元，因为攻击者开始越来越多地瞄准连接不同区块链的智能合约，而不是单个协议。这一趋势包括 Gravity Bridge 漏洞利用事件，黑客从中盗取了 540 万美元，并通过 Binance 转移资金，之后资金踪迹中断。

The Sandbox 接下来的工作是对跨链桥铸造控制机制失效的原因进行事后复盘，并在重新启用 Base 和 BSC 跨链桥之前完成安全审计。

Coinbase 计划于 8 月 26 日下架 SAND 永续合约

截至本周，SAND 的交易价格接近 0.039 美元。Coinbase 宣布计划下架包括 SAND 在内的十个永续合约，自 8 月 26 日起生效。这是其对衍生品市场交易量和流动性进行更广泛审查的一部分。届时，未平仓头寸将自动结算。

常见问题

8 月 21 日 The Sandbox 跨链桥漏洞利用事件发生了什么？

攻击者利用 The Sandbox 在 Base 和 BNB Smart Chain（BSC）上的跨链桥漏洞，在两个地址中铸造了约 149 亿枚没有资产支持的 SAND 代币。The Sandbox 发现问题后立即禁用了 Base 和 BSC 上的跨链桥，以防止未经授权的代币进一步转移。

与最大供应量相比，铸造了多少 SAND？

PeckShield 发现，此次漏洞利用事件中铸造了约 149 亿枚没有资产支持的 SAND。SAND 的最大供应量为 30 亿枚，这意味着铸造量几乎是所有已经存在或将要存在的真实 SAND 代币总量的五倍。

Coinbase 何时会下架 SAND 永续合约？

Coinbase 宣布计划下架包括 SAND 在内的十个永续合约，自 8 月 26 日起生效。这是其对衍生品市场交易量和流动性进行更广泛审查的一部分。届时，未平仓头寸将自动结算。