The Sandbox heeft een kwetsbaarheid in zijn SAND cross-chain bridge bevestigd en ingedamd, waarmee een aanvaller ongedekte SAND-tokens kon minten op Base en BNB Smart Chain (BSC). Base is een Ethereum Layer-2-netwerk dat door Coinbase is gesteund in de beginfase, terwijl BNB Smart Chain de EVM-compatibele blockchain is die door Binance wordt beheerd. SAND — de native token van The Sandbox, een op Ethereum gebaseerd metaverse-gamingplatform — bereikt beide ketens normaal alleen doordat de tokens als onderpand worden vergrendeld en in equivalente hoeveelheden worden gemint. Blockchainbeveiligingsbedrijf Blockaid identificeerde ongeveer $49 miljard aan nep-SAND tegen nominale waarde via meer dan 400 transacties, terwijl het project zegt dat het incident minder dan 0,01% van de totale SAND-tokenvoorraad vertegenwoordigt.

Bridge-exploit leidt tot noodstop

Volgens The Sandbox trof de fout de cross-chain bridge-infrastructuur die SAND op BSC en Base met elkaar verbindt, waardoor een aanvaller SAND-tokens kon minten zonder het onderliggende activum dat normaal nodig is voor overbrugde voorraad. Bridges met dit lock-and-mint-ontwerp houden de oorspronkelijke tokens in reserve op de bronketen, dus als de koppeling tussen vergrendeld onderpand en geminte voorraad wordt doorbroken, kunnen nieuwe tokens zonder dekking worden aangemaakt.

Het project maakte het incident bekend op X:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

Als reactie daarop zette het project alle bridging- en unbridging-activiteit tussen de twee netwerken stop. Daardoor is SAND dat momenteel op Base en BSC wordt aangehouden geïsoleerd: het kan niet via de bridge worden teruggestuurd en ook niet via de getroffen cross-chain routes worden ingewisseld. Het stilleggen van bridgeverkeer is een standaardmaatregel om een incident in te dammen, omdat de ongedekte tokens op de doelketens verhandelbaar blijven ongeacht de status van de bridge.

Ook handelaren kregen een duidelijke waarschuwing van The Sandbox, dat gebruikers adviseerde geen SAND te kopen, verkopen of verhandelen op Base of BSC vanwege de liquiditeitssituatie op die netwerken.

The Sandbox zei dat de Ethereum- en Polygon-implementaties niet zijn geraakt, dat geen enkele gebruikerswallet is gecompromitteerd en dat de SAND die aan Ethereum-zijde is vergrendeld — het onderpand dat geldige overbrugde tokens dekt — intact blijft.

$49 miljard weerspiegelt de schaal van het minten van nep-tokens

Het grootste getal werd gerapporteerd door blockchainbeveiligingsbedrijf Blockaid, dat ongeveer $49 miljard aan SAND identificeerde dat tegen nominale waarde werd gemint via meer dan 400 transacties.

Dit bedrag vertegenwoordigt niet de waarde van activa die uit het protocol zijn verloren of weggesluisd. Het weerspiegelt juist de marktwaarde van de grote hoeveelheid ongedekte tokens die als onderdeel van de exploit zijn aangemaakt. Dat onderscheid is belangrijk: de door de aanvaller geminte SAND wordt niet ondersteund door reserves van de legitieme cross-chain voorraad en kan niet als legitieme liquiditeit worden beschouwd. In de praktijk beschadigen ongedekte mintings de gepoolde liquiditeit in plaats van de vergrendelde reserves — eventuele nep-tokens die in Base- of BSC-pools worden verkocht, komen ten koste van de liquiditeitsverschaffers aan de andere kant van die pools, en dat is precies de blootstelling waarop de geplande compensatie is gericht.

Er loopt nog een onderzoek, en The Sandbox zei dat een gedetailleerd incidentrapport en technische post-mortem zullen volgen.

Compensatieplan richt zich op getroffen liquiditeitsverschaffers

De voorbereiding van een compensatieplan is gaande, inclusief een snapshot van het Sandbox-ecosysteem van vóór het incident. Het plan richt zich op BSC-gebruikers in geselecteerde liquiditeitspools op Base. Het project heeft nog geen definitief compensatiepakket of het bedrag dat mogelijk beschikbaar komt vrijgegeven.

The Sandbox stelde dat reguliere SAND-houders op Ethereum en Polygon niets hoeven te doen.

Het incident brengt opnieuw zorgen over de beveiliging van cross-chain infrastructuur naar voren. Bridges behoren herhaaldelijk tot de duurste aanvalsvectoren in crypto — de Ronin Bridge-hack trok in maart 2022 meer dan $600 miljoen weg, Wormhole verloor enkele weken eerder ongeveer $320 miljoen, en Chainalysis schatte dat bridge-exploits goed waren voor ongeveer 69% van de gestolen middelen bij crypto-hacks in dat jaar. De onmiddellijke focus van The Sandbox ligt op het indammen van de getroffen netwerken, het analyseren van de omvang van het incident en het vergoeden van in aanmerking komende liquiditeitsverschaffers, terwijl het technische post-mortem, de definitieve compensatievoorwaarden en in aanmerking komende pools, en de uiteindelijke heropening van bridging tussen Base en BSC de openstaande aandachtspunten blijven.