Une exploitation de l’infrastructure de pont interchaînes de The Sandbox a généré environ 49 milliards $ de SAND en valeur faciale, impossibles à encaisser, selon la société de sécurité blockchain Blockaid, qui a détecté l’attaque en cours le 22 août 2026. Le suivi on-chain indépendant indique qu’environ 675 000 $ d’actifs adossés seulement semblent avoir quitté les réserves légitimes avant l’arrêt du pont, ce qui fait de la fuite des réserves — et non du chiffre en une — la véritable mesure du coût de l’incident. The Sandbox est un univers de jeu virtuel où SAND, son jeton basé sur Ethereum, sert à acheter des terrains et des actifs en jeu, et les routes compromises passaient par les versions de ce jeton sur Base, le réseau de couche 2 d’Ethereum développé par Coinbase, ainsi que sur BNB Chain.

Ce que le chiffre de 49 Md$ mesurait réellement

L’évaluation à 49 milliards $ provenait de la multiplication du prix de marché du SAND légitime par des soldes de jetons créés sans aucun adossement. Les outils de suivi blockchain pouvaient afficher 49 milliards $ car ils disposaient de deux éléments : un prix de jeton et un solde de jetons énorme. Ils n’avaient ni 49 milliards $ de garantie, ni acheteurs, ni actifs rachetables derrière ces soldes.

Le flux d’argent est bien plus faible et bien plus important. Le suivi on-chain indépendant indique qu’environ 14,75 millions de SAND, valorisés à près de 675 000 $ à l’époque, ont quitté les réserves légitimes du pont avant la réponse. Environ 79,74 ETH ont également été convertis pendant l’attaque. C’est cette partie de l’événement qui a un coût économique réel — et non le montant gonflé attaché à une offre non adossée.

Comment un flux de prix a transformé une frappe défaillante en titre à 49 Md$

Blockaid a déclaré que l’attaquant avait détourné des permissions de délégation LayerZero liées au SAND Omnichannel Fungible Token (OFT) sur Base via un chemin approveAndCall. À partir de là, l’attaquant pouvait frapper du SAND sans l’adossement normal sur Ethereum.

🚨 Blockaid detected an ongoing exploit on @TheSandboxGame SAND OFT on Base. Attackers hijacked LayerZero delegate permissions via approveAndCall and minted unbacked SAND. ~$49B face-value SAND minted so far across ~400+ txs. Attack still ongoing. More details in 🧵

— Blockaid (@blockaid_), August 22, 2026

Un jeton interchaînes est censé préserver une relation simple : un jeton créé sur un réseau doit correspondre à un jeton équivalent verrouillé, brûlé ou autrement comptabilisé sur un autre. C’est ce qui empêche un pont de transformer un seul actif en plusieurs créances concurrentes sur la même garantie. Les infrastructures interchaînes ont causé certaines des plus grandes pertes de l’histoire crypto — la faille du Ronin Network a drainé plus de 600 millions $ en 2022, et l’exploit Wormhole la même année a emporté environ 320 millions $ — parce que les ponts et leurs couches de messagerie sous-jacentes sont précisément l’endroit où sont traitées les créances sur des actifs détenus ailleurs.

L’attaque a rompu cette relation. De nouveaux SAND sont apparus sur les réseaux affectés sans réduction correspondante ni arrangement de réserve sur Ethereum. Les explorateurs ont ensuite traité ces soldes comme du SAND ordinaire et appliqué le prix de marché en vigueur. Le calcul était correct mécaniquement ; économiquement, il n’avait aucun sens.

Un portefeuille peut afficher un solde de jetons d’un milliard de dollars tout en restant incapable de le convertir en argent réellement utilisable. L’attaquant ne contrôlait pas un pool disposant de 49 milliards $ en attente d’achat de SAND, et une telle quantité n’aurait pas pu être vendue au prix affiché sans submerger tous les marchés disponibles. Les soldes gonflés constituaient une menace parce qu’ils pouvaient être échangés contre des pools limités d’actifs réels — non parce que l’évaluation en une était réellement disponible au retrait.

L’attaque visait l’accès à la liquidité de sortie du pont

La frappe des jetons non adossés n’était que la première étape. La partie utile de l’attaque était la période précédant la mise hors service du pont et des liquidités associées, pendant laquelle ces soldes pouvaient encore être échangés contre des actifs réellement adossés.

C’est de là que provient l’estimation d’environ 675 000 $. Le suivi on-chain indique qu’environ 14,75 millions de SAND ont quitté l’adaptateur OFT d’Ethereum, une partie du produit ayant été convertie en ETH. Ces actifs provenaient de réserves légitimes. Contrairement aux soldes artificiels côté Base, ils disposaient d’un marché établi et pouvaient être déplacés en dehors de la route compromise.

L’écart entre les deux chiffres est la manière la plus claire de lire l’exploit. Le chiffre de 49 milliards $ en valeur faciale était plus de 70 000 fois supérieur à la fuite estimée des réserves. L’un mesure l’ampleur de la fausse créance créée on-chain ; l’autre mesure la valeur qui semble avoir quitté le système.

Cela explique aussi pourquoi les fournisseurs de liquidité sont au centre de la reprise. Un jeton non adossé ne devient la perte de quelqu’un d’autre que lorsqu’il atteint un pool contenant du SAND, de l’ETH, des stablecoins ou d’autres actifs réels. Le faux solde est l’arme ; le pool de liquidité est l’endroit où il peut causer un dommage financier.

La réponse d’urgence a isolé l’offre gonflée

The Sandbox a indiqué avoir contenu la vulnérabilité affectant son pont interchaînes sur Base et BNB Chain. La société a désactivé les fonctionnalités interchaînes pour SAND sur les deux réseaux, laissant les soldes affectés isolés et incapables de se déplacer ou d’être rachetés via le pont.

L’équipe a précisé que le SAND sur Ethereum et Polygon n’était pas affecté, qu’aucun portefeuille utilisateur n’avait été compromis et que les détenteurs sur ces réseaux n’avaient aucune action à entreprendre. Elle a également averti les utilisateurs de ne pas acheter, vendre ou échanger du SAND sur Base ou BNB Chain tant que les liquidités y restent compromises.

C’est pour cette raison que le projet peut décrire l’impact comme inférieur à 0,01 % de l’offre légitime de SAND, alors que les chercheurs ont suivi une quantité énorme de jetons non adossés. Cette déclaration ne signifie pas qu’une quantité minuscule de faux SAND a été frappée. Elle signifie que l’impact sur l’offre reconnue et sur les réserves adossées est resté limité une fois les routes du pont coupées.

La confinement n’est toutefois pas un rapport de pertes final. Il indique aux détenteurs que la voie connue a été fermée. Il n’établit pas encore la fuite totale des réserves, n’identifie pas tous les pools affectés et n’explique pas comment le projet restaurera la liquidité endommagée pendant l’attaque.

D’abord la défaillance de permission, le verdict LayerZero plus tard

Les éléments disponibles indiquent que des permissions de délégation associées au déploiement OFT de The Sandbox ont été abusées. Cela n’équivaut pas à prouver une vulnérabilité à l’échelle du protocole dans LayerZero lui-même. Le standard OFT de LayerZero est utilisé par un large éventail de jetons pour maintenir une offre unique répartie sur plusieurs chaînes, ce qui explique pourquoi la distinction entre l’application et le protocole compte bien au-delà de The Sandbox : une faille dans un déploiement reste circonscrite, alors qu’une faille dans le standard partagé concernerait tous les projets qui s’y appuient.

La cause racine reste importante, car plusieurs défaillances différentes pourraient produire le même résultat : une clé de délégation exposée, des permissions excessivement larges, un chemin d’appel non sûr ou une autre faiblesse de configuration dans la propre architecture interchaînes de l’application. Blockaid a identifié l’utilisation d’approveAndCall et la prise de contrôle de la délégation qui en a résulté, mais The Sandbox n’a pas encore publié son rapport technique promis.

Pour cette raison, la formulation précise compte. Dire que « LayerZero a été piraté » va plus loin que ce que les preuves permettent actuellement. Le point confirmé est plus étroit et plus utile : un attaquant a obtenu l’autorité nécessaire pour frapper du SAND non adossé au sein du système interchaînes de The Sandbox.

Le post-mortem a une mission limitée

La prochaine mise à jour utile ne sera pas une nouvelle estimation du nombre de milliers de milliards de jetons apparus dans les portefeuilles des attaquants. Le rapport d’incident doit trancher les questions qui détermineront le coût final.

La défaillance de permission : comment l’attaquant a-t-il obtenu ou assumé l’autorité de délégation LayerZero ?

La perte de réserves : quelle quantité de SAND légitime, d’ETH et d’autres actifs est sortie avant l’arrêt du pont ?

Les pools affectés : quels fournisseurs de liquidité sur Base et BNB Chain ont absorbé l’offre factice ou perdu l’adossement ?

La méthode d’indemnisation : quel instantané pré-incident sera utilisé, qui est éligible et si le remboursement sera effectué en SAND, en stablecoins ou dans un autre actif.

La voie vers la réouverture : quels changements de sécurité doivent être finalisés avant que le SAND sur Base et BNB Chain puisse de nouveau être transféré via le pont.

The Sandbox a indiqué avoir sécurisé un instantané pré-incident et prépare des mesures de compensation pour les LP éligibles. C’est un bon point de départ, mais ce n’est pas encore une réparation achevée. Tant que la méthodologie n’est pas publique, les fournisseurs concernés ne savent pas comment les pertes seront calculées ni quand elles seront intégralement compensées.

Ignorez le ticker à 49 Md$ ; suivez les réserves

L’exploit était sérieux parce qu’une défaillance de permission du pont a ouvert une voie du faux SAND vers une liquidité réelle. Ce n’était pas un vol de 49 milliards $, malgré le chiffre attaché aux soldes frappés.

Le chiffre à surveiller est le montant de valeur adossée qui est sorti avant l’isolement du pont, puis le montant que The Sandbox restitue finalement aux LP concernés. Le titre à 49 milliards $ décrit ce qu’un attaquant pouvait faire afficher à un traqueur de prix. La fuite des réserves et le plan de reprise montreront ce qu’a réellement coûté l’exploit.

Sources : mise à jour officielle de sécurité de The Sandbox ; alerte initiale de Blockaid ; et suivi on-chain indépendant sur la fuite estimée des réserves. The Sandbox a indiqué qu’un rapport d’incident complet et une analyse technique suivront.