The Sandbox a confirmé et circonscrit une vulnérabilité dans son pont interchaînes SAND qui a permis à un attaquant de frapper des tokens SAND sans garantie sur Base et sur BNB Smart Chain (BSC). Base est un réseau Ethereum de couche 2 incubé par Coinbase, tandis que BNB Smart Chain est la blockchain compatible EVM exploitée par Binance. SAND — le token natif de The Sandbox, une plateforme de jeux en métavers basée sur Ethereum — n'atteint normalement ces deux chaînes qu'en étant verrouillé en garantie puis frappé en quantités équivalentes. La société de sécurité blockchain Blockaid a identifié environ 49 milliards de dollars de faux SAND à la valeur nominale, répartis sur plus de 400 transactions, tandis que le projet indique que l'incident représente moins de 0,01 % de l'offre totale de tokens SAND.

L'exploitation du pont déclenche un arrêt d'urgence

Selon The Sandbox, la faille touchait l'infrastructure du pont interchaînes reliant le SAND sur BSC et sur Base, ce qui permettait à un attaquant de frapper des tokens SAND sans l'actif de garantie normalement exigé pour l'offre pontée. Les ponts de ce type, fondés sur un mécanisme de verrouillage puis d'émission, conservent les tokens d'origine en réserve sur la chaîne source ; rompre le lien entre la garantie verrouillée et l'offre émise permet donc de créer de nouveaux tokens sans aucune contrepartie.

Le projet a révélé l'incident sur X :

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

En réponse, le projet a interrompu toute activité de pontage et de dépontage entre les deux réseaux. En conséquence, le SAND actuellement détenu sur Base et sur BSC est isolé : il ne peut plus être transféré via le pont ni racheté par les routes interchaînes concernées. L'arrêt du trafic du pont est une mesure de confinement standard, car les tokens sans garantie restent transférables sur les chaînes de destination, quel que soit l'état du pont.

Les traders ont également reçu un avertissement clair de The Sandbox, qui a conseillé aux utilisateurs de ne pas acheter, vendre ni échanger de SAND sur Base ou sur BSC, compte tenu de l'état de la liquidité sur ces réseaux.

The Sandbox a indiqué que ses déploiements sur Ethereum et sur Polygon n'étaient pas touchés, qu'aucun portefeuille d'utilisateur n'a été compromis et que le SAND verrouillé côté Ethereum — la garantie qui soutient les tokens pontés valides — demeure intact.

Le chiffre de 49 milliards de dollars illustre l'ampleur de la frappe de faux tokens

Le chiffre le plus élevé a été rapporté par la société de sécurité blockchain Blockaid, qui a identifié environ 49 milliards de dollars de SAND frappés à leur valeur nominale via plus de 400 transactions.

Ce chiffre ne représente pas la valeur des actifs perdus ou retirés du protocole. Il traduit plutôt la valeur de marché de la grande quantité de tokens sans garantie créés dans le cadre de l'exploit. Cette distinction est importante : le SAND frappé par l'attaquant ne bénéficie d'aucune réserve de l'offre interchaînes légitime et ne peut être traité comme une liquidité légitime. En pratique, les émissions sans garantie nuisent à la liquidité des pools plutôt qu'aux réserves verrouillées — tout faux token vendu dans les pools de Base ou de BSC se ferait au détriment des fournisseurs de liquidité situés de l'autre côté de ces pools, et c'est précisément cette exposition que la compensation envisagée par le projet vise à couvrir.

Une enquête est en cours, et The Sandbox a déclaré qu'un rapport d'incident détaillé et un bilan technique suivraient.

Un plan de compensation ciblant les fournisseurs de liquidité touchés

La préparation d'un plan de compensation est en cours, notamment à partir d'un instantané de l'écosystème Sandbox réalisé avant l'incident. Le plan ciblera des utilisateurs de BSC dans certains pools de liquidité sélectionnés sur Base. Le projet n'a pas encore publié le dispositif de compensation définitif ni le montant total qui pourrait être mis à disposition.

The Sandbox a déclaré que les détenteurs ordinaires de SAND sur Ethereum et sur Polygon n'avaient rien à faire.

L'incident remet une fois de plus au premier plan les préoccupations de sécurité entourant les infrastructures interchaînes. Les ponts figurent régulièrement parmi les surfaces d'attaque les plus coûteuses de la crypto — la faille du Ronin Bridge a permis de drainer plus de 600 millions de dollars en mars 2022, Wormhole a perdu environ 320 millions de dollars quelques semaines plus tôt, et Chainalysis a estimé que les exploits de ponts représentaient environ 69 % des fonds volés lors des piratages crypto cette année-là. La priorité immédiate de The Sandbox est de circonscrire les réseaux touchés, d'analyser l'ampleur de l'incident et de dédommager les fournisseurs de liquidité éligibles ; le bilan technique, les conditions finales de compensation et les pools éligibles, ainsi que la réouverture éventuelle du pontage entre Base et BSC, constituent les points ouverts à surveiller.