The Sandbox ha confermato e contenuto una vulnerabilità nel proprio bridge cross-chain di SAND che ha permesso a un attaccante di coniare token SAND privi di copertura su Base e su BNB Smart Chain (BSC). Base è una rete Layer-2 di Ethereum incubata da Coinbase, mentre BNB Smart Chain è la blockchain compatibile EVM gestita da Binance. SAND — il token nativo di The Sandbox, una piattaforma di gaming metaverso basata su Ethereum — raggiunge normalmente le due chain solo venendo bloccato come collaterale e coniato in quantità equivalente. La società di sicurezza blockchain Blockaid ha identificato circa 49 miliardi di dollari in SAND falsi a valore nominale in oltre 400 transazioni, mentre il progetto afferma che l'incidente rappresenta meno dello 0,01% dell'offerta totale di token SAND.

L'exploit del bridge provoca un arresto di emergenza

Secondo The Sandbox, la falla ha interessato l'infrastruttura di bridging cross-chain che collega SAND su BSC e Base, consentendo a un attaccante di coniare token SAND senza l'asset di copertura normalmente richiesto per l'offerta bridged. I bridge con questo design lock-and-mint mantengono i token originali in riserva sulla chain di origine, quindi rompere il legame tra collaterale bloccato e offerta coniata permette di creare nuovi token senza alcuna copertura.

Il progetto ha reso pubblico l'incidente su X:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (post su X)

In risposta, il progetto ha interrotto ogni attività di bridging e unbridging tra le due reti. Di conseguenza, la SAND attualmente detenuta su Base e BSC è isolata: non può essere trasferita indietro attraverso il bridge né riscattata tramite le rotte cross-chain interessate. La sospensione del traffico sul bridge è una misura di contenimento standard, poiché i token privi di copertura restano trasferibili sulle chain di destinazione indipendentemente dallo stato del bridge.

Anche i trader hanno ricevuto un avvertimento chiaro da The Sandbox, che ha sconsigliato agli utenti di acquistare, vendere o scambiare SAND su Base o BSC data la situazione di liquidità su tali reti.

The Sandbox ha precisato che i propri deployment su Ethereum e Polygon non sono stati interessati, che nessun wallet utente è stato compromesso e che la SAND bloccata sul lato Ethereum — il collaterale che garantisce i token bridged validi — resta intatta.

La cifra di 49 miliardi di dollari riflette la portata della coniazione di token falsi

Il dato più alto è stato riportato dalla società di sicurezza blockchain Blockaid, che ha identificato circa 49 miliardi di dollari in SAND coniati a valore nominale attraverso oltre 400 transazioni.

La cifra non rappresenta il valore degli asset perduti o sottratti dal protocollo. Riflette piuttosto il valore di mercato della grande quantità di token privi di copertura creati nell'ambito dell'exploit. Questa distinzione è significativa: la SAND coniata dall'attaccante non gode di alcuna copertura in riserve da parte dell'offerta cross-chain legittima e non può essere trattata come liquidità legittima. Nella pratica, le coniazioni senza copertura danneggiano la liquidità in pool anziché le riserve bloccate — eventuali token falsi venduti nei pool su Base o BSC avverrebbero a spese dei liquidity provider dall'altro lato di tali pool, ed è proprio questa esposizione che la compensazione pianificata dal progetto intende coprire.

Le indagini sono in corso e The Sandbox ha comunicato che seguiranno un rapporto dettagliato sull'incidente e un post-mortem tecnico.

Il piano di compensazione prende di mira i liquidity provider colpiti

È in corso la preparazione di un piano di compensazione, che include uno snapshot dell'ecosistema Sandbox effettuato prima dell'incidente. Il piano sarà destinato agli utenti BSC in selezionati pool di liquidità su Base. Il progetto non ha ancora reso noto il pacchetto di compensazione definitivo né l'importo totale che potrebbe essere reso disponibile.

The Sandbox ha dichiarato che i normali detentori di SAND su Ethereum e Polygon non devono fare nulla.

L'incidente porta nuovamente al centro dell'attenzione le preoccupazioni di sicurezza riguardanti le infrastrutture cross-chain. I bridge sono più volte risultati tra le superfici d'attacco più costose del crypto — la violazione del Ronin Bridge ha prosciugato oltre 600 milioni di dollari a marzo 2022, Wormhole ha perso circa 320 milioni di dollari poche settimane prima e Chainalysis ha stimato che gli exploit di bridge abbiano rappresentato circa il 69% dei fondi rubati negli attacchi crypto di quell'anno. Le priorità immediate di The Sandbox sono contenere le reti interessate, analizzare l'entità dell'incidente e rimborsare i liquidity provider idonei, con il post-mortem tecnico, i termini finali di compensazione e i pool idonei, nonché l'eventuale riapertura del bridging tra Base e BSC, quali elementi aperti da monitorare.