Der SAND-Token von The Sandbox war am 21.–22. August von einem schwerwiegenden Cross-Chain-Exploit betroffen, bei dem ein Angreifer über rund fünf Stunden etwa 329,24 Billionen ungedeckte Tokens schuf. Trotz dieser gewaltigen Zahl konnte der Angreifer lediglich rund 675.000 USD an echtem wirtschaftlichem Wert entziehen.

Der Vorfall veranschaulicht die Lücke zwischen On-Chain angezeigten Token-Guthaben und Vermögenswerten, die tatsächlich eingelöst oder verkauft werden können. Die im Angriff erzeugten 329 Billionen SAND hatten einen nominellen Wert von rund 49 Billionen USD, doch die meisten dieser Tokens hatten keine entsprechenden Reserven als Deckung.

Wie sich der SAND-Exploit entwickelte

Der Angreifer zielte auf die Base-Bereitstellung von SAND ab und nutzte deren LayerZero-Omnichain-Konfiguration aus. LayerZero ist ein weit verbreitetes Interoperabilitätsprotokoll, das Tokens über Omnichain-Fungible-Token(OFT)-Adapter zwischen Chains bewegt, wobei Cross-Chain-Aktionen über Delegatenberechtigungen gesteuert werden. Die Ermittler stellten fest, dass die Funktion approveAndCall des Tokens genutzt wurde, um LayerZero-Delegatenberechtigungen zu übernehmen.

Mit diesem Zugriff erlangte der Angreifer die Fähigkeit, unbefugtes Minting auf Base zu autorisieren. Die daraus resultierende Aktivität erzeugte 329,24 Billionen SAND über 703 Minting-Ereignisse hinweg, an denen 173 Wallets beteiligt waren.

Das legitime SAND-Angebot auf Ethereum blieb auf 3 Milliarden Tokens begrenzt, was bedeutet, dass die neu geschaffenen Base-Tokens faktisch ungedeckt waren und nicht einfach gegen die Ethereum-Reserven eingelöst werden konnten.

Die entscheidende Zahl: Was tatsächlich die Reserven verließ

Während das Minting in den Schlagzeilen katastrophal wirkte, fiel die tatsächliche Entnahme des Angreifers weitaus geringer aus. Etwa 14,75 Millionen SAND wurden aus dem OFT-Adapter auf Ethereum-Seite abgezogen und in rund 80 ETH umgewandelt, was zum Zeitpunkt des Angriffs etwa 675.000 USD wert war.

Als Reaktion darauf deaktivierte The Sandbox das Cross-Chain-Bridging mit Base und BNB Smart Chain. Laut verfügbaren Vorfallberichten wurden die Reserven auf Ethereum und Polygon nicht kompromittiert.

Der Exploit zeigt, warum der scheinbare Marktwert eines Tokens während eines Smart-Contract-Angriffs in die Irre führen kann. Die Multiplikation eines legitimen Marktpreises mit einer enormen Menge neu geprägter Tokens bedeutet nicht, dass diese Liquidität tatsächlich vorhanden ist.

Cross-Chain-Infrastruktur war in den vergangenen Jahren wiederholt Brennpunkt großer Krypto-Verluste, und dieser Vorfall reiht sich in ein Muster von Exploits ein, die auf Bridge- und Messaging-Layer-Konfigurationen abzielten, nicht auf die zugrunde liegenden Token-Verträge selbst. Abzuwarten bleibt, wie schnell The Sandbox und andere Projekte mit Omnichain-Token-Setups ihre Delegaten- und Genehmigungskontrollen prüfen und verschärfen, bevor sie das Bridging wieder aktivieren.

Für The Sandbox belief sich der unmittelbare finanzielle Verlust somit auf Hunderttausende statt auf Zig-Milliarden von USD. Dennoch legte der Vorfall schwerwiegende Schwächen bei Cross-Chain-Berechtigungskontrollen offen und warf neue Fragen zur Sicherheit von Token-Bridge-Infrastruktur auf.