The Sandbox confirmó y contuvo una vulnerabilidad en su puente intercadena de SAND que permitió a un atacante acuñar tokens de SAND sin respaldo en Base y BNB Smart Chain (BSC). Base es una red de capa 2 de Ethereum incubada por Coinbase, mientras que BNB Smart Chain es la blockchain compatible con EVM operada por Binance. SAND —el token nativo de The Sandbox, una plataforma de juegos de metaverso basada en Ethereum— normalmente llega a ambas cadenas solo si se bloquea como colateral y se acuña en cantidades equivalentes. La firma de seguridad blockchain Blockaid identificó aproximadamente 49.000 millones de dólares en SAND falsificado a valor nominal en más de 400 transacciones, mientras que el proyecto afirma que el incidente representa menos del 0,01 % de la oferta total de tokens SAND.

El exploit del puente provoca un cierre de emergencia

Según The Sandbox, la falla afectó la infraestructura del puente intercadena que conecta SAND en BSC y Base, lo que permitía a un atacante acuñar tokens de SAND sin el activo de respaldo que normalmente se requiere para la oferta puenteada. Los puentes de este diseño de bloqueo y acuñación mantienen los tokens originales en reserva en la cadena de origen, por lo que romper el vínculo entre el colateral bloqueado y la oferta acuñada permite crear nuevos tokens sin ningún respaldo.

El proyecto dio a conocer el incidente en X:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

Como respuesta, el proyecto detuvo toda la actividad de puenteo y de retiro del puente entre las dos redes. Como resultado, el SAND que actualmente se mantiene en Base y BSC está aislado: no puede transferirse de vuelta a través del puente ni canjearse mediante las rutas intercadena afectadas. Detener el tráfico del puente es una medida de contención estándar, ya que los tokens sin respaldo siguen siendo transferibles en las cadenas de destino independientemente del estado del puente.

Los traders también recibieron una advertencia clara de The Sandbox, que aconsejó a los usuarios no comprar, vender ni negociar SAND en Base ni en BSC, dada la situación de la liquidez en esas redes.

The Sandbox afirmó que sus despliegues en Ethereum y Polygon no resultaron afectados, que ninguna billetera de usuario fue comprometida y que el SAND bloqueado en el lado de Ethereum —el colateral que respalda los tokens puenteados válidos— permanece intacto.

La cifra de 49.000 millones de dólares refleja la escala de la acuñación de tokens falsos

La cifra más alta fue reportada por la firma de seguridad blockchain Blockaid, que identificó aproximadamente 49.000 millones de dólares en SAND acuñado a valor nominal mediante más de 400 transacciones.

La cifra no representa el valor de los activos perdidos o extraídos del protocolo. Más bien, refleja el valor de mercado de la gran cantidad de tokens sin respaldo creados como parte del exploit. Esa distinción es significativa: el SAND acuñado por el atacante no cuenta con respaldo en reservas de la oferta intercadena legítima y no puede tratarse como liquidez legítima. En la práctica, las acuñaciones sin respaldo dañan la liquidez agrupada en lugar de las reservas bloqueadas: cualquier token falso vendido en los pools de Base o BSC saldría a expensas de los proveedores de liquidez del otro lado de esos pools, que es la exposición a la que apunta el plan de compensación del proyecto.

Hay una investigación en curso, y The Sandbox dijo que posteriormente se publicarán un informe detallado del incidente y un análisis técnico posterior (post-mortem).

El plan de compensación se dirige a los proveedores de liquidez afectados

La preparación de un plan de compensación está en marcha, incluida una instantánea del ecosistema de Sandbox tomada antes del incidente. El plan se dirigirá a los usuarios de BSC en pools de liquidez seleccionados en Base. El proyecto aún no ha publicado el paquete de compensación definitivo ni el monto total que podría ponerse a disposición.

The Sandbox señaló que no hay nada que hacer para los tenedores habituales de SAND en Ethereum y Polygon.

El incidente vuelve a poner de relieve las preocupaciones de seguridad en torno a la infraestructura intercadena. Los puentes se han ubicado repetidamente entre las superficies de ataque más costosas del sector cripto: la brecha del Ronin Bridge drenó más de 600 millones de dólares en marzo de 2022, Wormhole perdió unos 320 millones de dólares semanas antes, y Chainalysis estimó que los exploits de puentes representaron alrededor del 69 % de los fondos robados en hackeos cripto ese año. El enfoque inmediato de The Sandbox es contener las redes afectadas, analizar la magnitud del incidente y reembolsar a los proveedores de liquidez elegibles; los puntos abiertos a seguir son el análisis técnico posterior, los términos finales de compensación y los pools elegibles, y la eventual reapertura del puenteo entre Base y BSC.