The Sandbox potwierdziło i zneutralizowało podatność w swoim międzyłańcuchowym moście SAND, która pozwalała atakującemu na emisję tokenów SAND bez pokrycia na Base i BNB Smart Chain (BSC). Base to inkubowana przez Coinbase sieć Ethereum Layer-2, natomiast BNB Smart Chain to obsługiwany przez Binance blockchain kompatybilny z EVM. SAND — natywny token The Sandbox, opartej na Ethereum platformy gier metaverse — normalnie trafia na oba łańcuchy wyłącznie poprzez zablokowanie w formie zabezpieczenia i wyemitowanie w równoważnej ilości. Firma zajmująca się bezpieczeństwem blockchain Blockaid zidentyfikowała około 49 miliardów dolarów fałszywego SAND w wartości nominalnej w ponad 400 transakcjach, podczas gdy projekt twierdzi, że incydent stanowi mniej niż 0,01% całkowitej podaży tokena SAND.

Exploit na moście wyzwala awaryjne zamknięcie

Według The Sandbox wada objęła infrastrukturę międzyłańcuchowego mostu łączącego SAND na BSC i Base, co oznaczało, że atakujący mógł wyemitować tokeny SAND bez zasobu zabezpieczającego, normalnie wymaganego dla podaży pomostowej. Mosty o tej konstrukcji lock-and-mint utrzymują oryginalne tokeny w rezerwie na łańcuchu źródłowym, więc zerwanie powiązania między zablokowanym zabezpieczeniem a wyemitowaną podażą pozwala tworzyć nowe tokeny bez jakiegokolwiek pokrycia.

Projekt ujawnił incydent na X:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

W odpowiedzi projekt zamknął całą aktywność pomostową (bridging i unbridging) między tymi dwiema sieciami. W rezultacie SAND aktualnie trzymany na Base i BSC jest odizolowany: nie można go przenieść z powrotem przez most ani wykupić przez dotknięte międzyłańcuchowe trasy. Wstrzymanie ruchu na moście to standardowy środek ograniczający, ponieważ tokeny bez pokrycia pozostają transferowalne na łańcuchach docelowych niezależnie od statusu mostu.

Traderzy otrzymali również wyraźne ostrzeżenie od The Sandbox, które zaleciło użytkownikom niekupowanie, niesprzedawanie i niehandlowanie SAND na Base ani BSC ze względu na stan płynności w tych sieciach.

The Sandbox podało, że jego wdrożenia na Ethereum i Polygon nie zostały dotknięte, że żaden portfel użytkownika nie został skompromitowany oraz że SAND zablokowany po stronie Ethereum — zabezpieczenie, które stoi za ważnymi tokenami pomostowymi — pozostaje nienaruszony.

Kwota 49 miliardów dolarów odzwierciedla skalę fałszywej emisji tokenów

Największą liczbę zgłosiła firma zajmująca się bezpieczeństwem blockchain Blockaid, która zidentyfikowała około 49 miliardów dolarów SAND wyemitowanych w wartości nominalnej w ponad 400 transakcjach.

Ta kwota nie odzwierciedla wartości aktywów utraconych lub wyprowadzonych z protokołu. Raczej pokazuje wartość rynkową dużej liczby tokenów bez pokrycia stworzonych w ramach tego exploita. To rozróżnienie jest istotne: wyemitowany przez atakującego SAND nie ma pokrycia w rezerwach legalnej podaży międzyłańcuchowej i nie może być traktowany jako prawomocna płynność. W praktyce emisje bez pokrycia szkodzą płynności w pulach, a nie zablokowanym rezerwom — wszelkie fałszywe tokeny sprzedane do puli na Base lub BSC odbyłyby się kosztem dostawców płynności po drugiej stronie tych puli i to właśnie na tym narażeniu skupia się planowana przez projekt rekompensata.

Śledztwo trwa, a The Sandbox zapowiedziało, że wkrótce pojawią się szczegółowy raport o incydencie i techniczna analiza post-mortem.

Plan rekompensat kierowany do poszkodowanych dostawców płynności

Trwają przygotowania do planu rekompensat, obejmujące między innymi wykonanie migawki ekosystemu The Sandbox sprzed incydentu. Plan ma objąć użytkowników BSC w wybranych pulach płynności na Base. Projekt nie opublikował jeszcze ostatecznego pakietu rekompensat ani łącznej kwoty, która może zostać udostępniona.

The Sandbox oświadczyło, że zwykli posiadacze SAND na Ethereum i Polygon nie muszą podejmować żadnych działań.

Incydent ponownie wysuwa na pierwszy plan obawy dotyczące bezpieczeństwa infrastruktury międzyłańcuchowej. Mosty wielokrotnie plasowały się wśród najkosztowniejszych powierzchni ataku w kryptowalutach — włamanie na Ronin Bridge w marcu 2022 r. wyczerpało ponad 600 milionów dolarów, Wormhole kilka tygodni wcześniej stracił około 320 milionów dolarów, a Chainalysis oszacowało, że exploity mostów stanowiły około 69% środków skradzionych w kryptoatakach w tamtym roku. Najbliższym celem The Sandbox jest ograniczenie skutków w dotkniętych sieciach, analiza zakresu incydentu i wypłata rekompensat uprawnionym dostawcom płynności, a do otwartych kwestii do obserwowania należą techniczna analiza post-mortem, ostateczne warunki rekompensat i kwalifikujące się pule oraz docelowe ponowne otwarcie pomostowania między Base i BSC.