The Sandbox компенсирует пользователям убытки в 700 тысяч долларов после взлома моста

Ущерб оценён в $700 тыс. Выплаты — в ERC-20 SAND из казначейства проекта. Скомпрометированные контракты будут выведены из эксплуатации.

Параметры инцидента

Затронуты пользователи моста в сетях Base и BNB Chain. Совокупный ущерб — порядка $700 тыс. в долларовом эквиваленте. Компенсация номинирована в SAND на Ethereum, а не в нативных обёрнутых токенах сетей-источников. Различие технически существенно: ликвидность ERC-20 SAND обеспечена основными DEX, тогда как обёрнутые версии на Base и BNB Chain имеют более тонкие стаканы и большее проскальзывание при обмене. Перевод ущерба в единый ERC-20 актив упрощает расчёт и снижает зависимость от ликвидности обёрток.

Формат и источник выплат

Средства — из казначейства The Sandbox. Объём компенсации эквивалентен потерянным суммам, пересчитанным в SAND. Скомпрометированные контракты моста отключаются — это исключает повторную эксплойтацию с того же вектора. Точные сроки старта выплат и адресная процедура верификации получателей в открытых материалах на момент публикации не детализированы.

Что проверить держателю

1. Контракты моста. Сверить адреса, с которыми взаимодействовал кошелёк, с официальным списком The Sandbox. До подтверждения отключения моста не подписывать новых approve-транзакций.

2. Кошелёк для получения. Адрес должен поддерживать ERC-20 SAND в сети Ethereum. Обёрнутые токены на Base/BNB Chain в выплате не участвуют — их балансы восстановлены не будут.

3. Канал коммуникации. Использовать только официальные ресурсы проекта. Фишинговые схемы «компенсации» в первые 48 часов после инцидента — типовой вектор атаки, ожидаемый в этом окне.

Контекст: параллельный кейс

За неделю до инцидента с The Sandbox зафиксирован эксплойт инфраструктуры криптокарт Rain в Solana. Уязвимость в контрактах эмитента привела к несанкционированным списаниям у пользователей карт Tria и Avici совокупно свыше $932 тыс. (2 321 пользователь). Tria возместила 636 клиентам потери и добавила 10% сверху. Основные кошельки пользователей не затронуты — эксплойт прошёл через контракт, обрабатывающий пополнение карточного баланса.

В обоих случаях компрометация локализована на промежуточном слое — мост в случае The Sandbox, карточный контракт у Rain. Основные хранилища не пострадали ни там, ни там. Различается модель компенсации: The Sandbox — централизованная выплата из казначейства в едином нативном активе; Tria — прямой рефанд по конкретным адресам плюс бонус. Для держателя SAND практический вывод один: ждать официальной верификации, не подписывать ничего через мост до его отключения, не доверять сторонним «формам компенсации».