The Sandbox 承诺两周内公布1:1补偿计划

沙盒游戏（The Sandbox）公布补偿计划：受影响用户将获1:1赔付

今日早些时候，沙盒游戏项目方为8月21日攻击事件中的受影响用户带来了积极消息——承诺将以1:1的比例进行补偿，并采用以太坊版本的SAND**支付。根据沙盒游戏发布的公告，项目方将在8月27日披露信息后的两周内，开放为期两周的补偿申领窗口。

此次补偿计划仅覆盖在攻击发生时，于Base链和BNB智能链（BSC）上持有桥接SAND**且能提供证明的用户。这一群体合计损失约69.7万美元。

SAND持有者何时能收到补偿？

沙盒游戏表示，受影响用户需等待至少一个月才能实际收到补偿。申领流程将在8月27日后的两周内启动，申领窗口将再开放两周。退款将以基于以太坊的SAND**形式发放，且仅针对攻击发生时在Base和BSC链上持有桥接SAND的用户。以太坊版本SAND的持有者在此次事件中**未受影响，该链的供应量仍为30亿枚。而基于Polygon的SAND同样未受影响，因其通过独立的桥接通道运行。

沙盒游戏在事后分析中澄清：“两条链上的余额均完好无损，用户无需采取**操作。”

沙盒游戏将攻击归因于**合约漏洞

沙盒游戏指出，漏洞并非来自其自身控制的**密钥，而是指向Base和BSC链上的SAND**合约。根据事后分析，该**合约被设置为同时充当桥接的注册应用。问题在于，消息层会将来自该方向的**输入都解读为沙盒游戏本身的直接指令。这种设置本意是为用户省去额**易，但攻击者却利用这一漏洞，通过四个步骤造成了总计约149万美元的经济损失。

首先，攻击者利用“调用”功能将自己的地址注册为授权管理员；获得管理员权限后，他们重写了验证设置，使得仅需自己地址的单次批准即可确认桥接消息；接着，他们提交虚假存款消息，在Base和BSC链上凭空铸造出SAND**，而对应的以太坊存款从未发生；**，他们将部分虚假**卖出换取以太币，并利用反向桥接功能从以太坊金库中提取真正的SAND**。法证分析显示，直接金库提取量为14,742,341.84枚SAND，攻击者**获利约98.7万美元。

桥接通道持续关闭

沙盒游戏已于8月22日世界协调时05:26，在合约层面关闭了**三条链上的桥接通道，并表示自当天世界协调时02:21起，再无**SAND**流出。项目方在8月22日发布的首份公开通知中称，该漏洞“已被**控制”，并指出损失不到SAND总供应量的0.01%。

项目方目前未对重新开放桥接通道抱有**希望。由于受影响的合约**允许应用自行重新配置，对委托角色的控制权“**存在争议”，**试图收回控制权的行为都可能被**愿意支付Gas费的人**。用项目方的话来说：“这些合约不存在**可以安全重新开放桥接的配置。”

该事件最初以市场恐慌的形式浮出水面。8月22日，链上分析公司Lookonchain标记了一次疑似“**铸造攻击”，并估计已有超过5亿枚SAND被创建。韩国交易所Upbit和Bithumb随即限制了SAND的充提及交易，并向用户发出波动警告。当时SAND的交易价格约为0.042美元，市值约1.23亿美元。