The Sandbox hat eine Schwachstelle in seiner SAND-Cross-Chain-Bridge bestätigt und eingedämmt, die es einem Angreifer ermöglichte, unbesicherte SAND-Token auf Base und BNB Smart Chain (BSC) zu prägen. Base ist ein von Coinbase unterstütztes Ethereum-Layer-2-Netzwerk, während BNB Smart Chain die mit der EVM kompatible Blockchain ist, die von Binance betrieben wird. SAND — der nativen Token von The Sandbox, einer auf Ethereum basierenden Metaverse-Gaming-Plattform — erreicht beide Chains normalerweise nur, indem er als Sicherheit gesperrt und in entsprechender Menge neu geprägt wird. Das Blockchain-Sicherheitsunternehmen Blockaid identifizierte rund 49 Milliarden US-Dollar an Fake-SAND zum Nennwert über mehr als 400 Transaktionen, während das Projekt angibt, der Vorfall entspreche weniger als 0,01 % des gesamten SAND-Token-Angebots.

Bridge-Exploit löst Notabschaltung aus

Laut The Sandbox betraf die Schwachstelle die Cross-Chain-Bridge-Infrastruktur, die SAND auf BSC und Base verbindet. Dadurch konnte ein Angreifer SAND-Token ohne den normalerweise für übertragene Bestände erforderlichen Gegenwert prägen. Bridges dieses Lock-and-Mint-Designs halten die ursprünglichen Token auf der Quell-Chain als Reserve, sodass die Aufhebung der Verbindung zwischen gesperrter Sicherheit und geprägtem Bestand neue Token ohne Besicherung entstehen lässt.

Das Projekt veröffentlichte den Vorfall auf X:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

Als Reaktion darauf stellte das Projekt sämtliche Bridging- und Unbridging-Aktivitäten zwischen den beiden Netzwerken ein. Dadurch ist das derzeit auf Base und BSC gehaltene SAND isoliert: Es kann nicht über die Bridge zurückübertragen oder über die betroffenen Cross-Chain-Routen eingelöst werden. Das Stoppen des Bridge-Verkehrs ist eine übliche Eindämmungsmaßnahme, da die unbesicherten Token auf den Ziel-Chains unabhängig vom Status der Bridge transferierbar bleiben.

Auch Händler erhielten eine klare Warnung von The Sandbox, das Nutzer aufforderte, SAND auf Base oder BSC angesichts der Liquiditätssituation auf diesen Netzwerken nicht zu kaufen, zu verkaufen oder zu handeln.

The Sandbox sagte, dass seine Ethereum- und Polygon-Deployments nicht betroffen seien, dass keine Nutzer-Wallets kompromittiert wurden und dass das auf der Ethereum-Seite gesperrte SAND — die Sicherheit, die gültige überbrückte Token deckt — intakt bleibt.

Die 49-Milliarden-US-Dollar-Zahl spiegelt das Ausmaß des Fake-Token-Minings wider

Die größte Zahl wurde vom Blockchain-Sicherheitsunternehmen Blockaid gemeldet, das SAND im Nennwert von rund 49 Milliarden US-Dollar über mehr als 400 Transaktionen identifizierte.

Diese Zahl steht nicht für den Wert der aus dem Protokoll verlorenen oder abgezogenen Vermögenswerte. Sie spiegelt vielmehr den Marktwert der großen Menge unbesicherter Token wider, die im Rahmen des Exploits erstellt wurden. Diese Unterscheidung ist wichtig: Das vom Angreifer geprägte SAND ist nicht durch die Reserven des legitimen Cross-Chain-Angebots gedeckt und kann nicht als legitime Liquidität behandelt werden. In der Praxis schädigen unbesicherte Prägungen die gepoolte Liquidität statt der gesperrten Reserven — jede gefälschte Token-Menge, die in Base- oder BSC-Pools verkauft würde, ginge zulasten der Liquiditätsanbieter auf der anderen Seite dieser Pools, und genau diese Belastung soll der geplante Entschädigungsmechanismus abdecken.

Die Untersuchung läuft weiterhin, und The Sandbox sagte, dass ein detaillierter Incident-Report und ein technisches Post-Mortem folgen werden.

Entschädigungsplan zielt auf betroffene Liquiditätsanbieter

Die Vorbereitungen für einen Entschädigungsplan laufen, einschließlich eines Snapshots des Sandbox-Ökosystems vor dem Vorfall. Der Plan wird sich an BSC-Nutzer in ausgewählten Liquiditätspools auf Base richten. Das Projekt hat das endgültige Entschädigungspaket oder die mögliche Gesamtsumme noch nicht veröffentlicht.

The Sandbox erklärte, dass reguläre SAND-Halter auf Ethereum und Polygon nichts unternehmen müssen.

Der Vorfall rückt Sicherheitsfragen rund um Cross-Chain-Infrastruktur erneut in den Fokus. Bridges zählen seit Jahren zu den teuersten Angriffsflächen im Kryptomarkt — der Ronin-Bridge-Hack verursachte im März 2022 einen Abfluss von mehr als 600 Millionen US-Dollar, Wormhole verlor Wochen zuvor rund 320 Millionen US-Dollar, und Chainalysis schätzte, dass Bridge-Exploits in diesem Jahr etwa 69 % der bei Krypto-Hacks gestohlenen Gelder ausmachten. Der unmittelbare Fokus von The Sandbox liegt darauf, die betroffenen Netzwerke einzudämmen, das Ausmaß des Vorfalls zu analysieren und berechtigte Liquiditätsanbieter zu entschädigen; als offene Punkte gelten das technische Post-Mortem, die endgültigen Entschädigungsbedingungen und berechtigten Pools sowie die spätere Wiederaufnahme des Bridgings zwischen Base und BSC.