The Sandbox mierzy się z poważnym incydentem bezpieczeństwa po tym, jak napastnicy wykorzystali międzyłańcuchowy kontrakt OFT (Omnichain Fungible Token) tokena SAND wdrożony przez projekt na blockchainie Base. Naruszenie dało napastnikom możliwość wyemitowania tokenów bez jakiegokolwiek zabezpieczenia, a incydent wywołał falę obaw o bezpieczeństwo infrastruktury mostów międzyłańcuchowych.

The Sandbox to platforma gier wirtualnych oparta na blockchainie, a SAND jest jej natywnym tokenem. Base, na którym wdrożono zaatakowany kontrakt, to sieć drugiej warstwy Ethereum opracowana przez Coinbase.

Dane on-chain wykazały, że atak był już w toku, a ponad 400 transakcji utworzyło tokeny o wartości blisko 49 miliardów dolarów. Kwota ta odnosi się jednak do wartości wygenerowanych tokenów, a nie do środków skradzionych z projektu.

Firma bezpieczeństwa Blockaid była jedną z pierwszych, które wykryły atak:

🚨 Blockaid detected an ongoing exploit on @TheSandboxGame SAND OFT on Base. Attackers hijacked LayerZero delegate permissions via approveAndCall and minted unbacked SAND. ~$49B face-value SAND minted so far across ~400+ txs. Attack still ongoing. More details in 🧵

— Blockaid (@blockaid_), August 22, 2026 — x.com/blockaid_/status/2091016046555582891

Jak doszło do ataku na The Sandbox

Według firmy bezpieczeństwa Blockaid haker przejął uprawnienia LayerZero związane z OFT tokena SAND na blockchainie Base. OFT to standard tokenów omnichain stosowany w protokole interoperacyjności LayerZero, jednej z najczęściej wykorzystywanych sieci przesyłania komunikatów międzyłańcuchowych, która umożliwia przemieszczanie tokenów pomiędzy blockchainami. Ponieważ nowe tokeny w łańcuchu docelowym są autoryzowane za pośrednictwem komunikatów LayerZero, kontrola nad powiązanymi uprawnieniami delegata w praktyce decyduje o tym, kto może emitować tokeny — i to właśnie ten dostęp, według Blockaid, został tu przejęty. Wykorzystując funkcję approveAndCall, haker zdołał obejść zwykłe kontrole i stworzyć nowy SAND bez jakiegokolwiek pokrycia.

W pewnym momencie wyemitowano już 500 milionów SAND, co odpowiada blisko 17% całkowitej podaży wynoszącej 3 miliardy tokenów.

PeckShield, inna firma zajmująca się bezpieczeństwem blockchaina, niezależnie zgłosiła, że łącznie na dwóch adresach portfeli powiązanych z atakiem utworzono około 14,9 miliarda SAND. Blockaid z kolei oszacowało wartość wyemitowanego SAND na blisko 49 miliardów dolarów w ponad 400 transakcjach.

#PeckShieldAlert Seems like The @TheSandboxGame ( $SAND ) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR

— PeckShieldAlert (@PeckShieldAlert), August 22, 2026 — x.com/PeckShieldAlert/status/2091037704314339331

Sama skala ataku zaniepokoiła obserwatorów możliwym wpływem świeżo wyemitowanych tokenów na rynek SAND. Infrastruktura międzyłańcuchowa wielokrotnie znajdowała się wśród najczęściej atakowanych obszarów branży krypto, a exploity mostów, takie jak Ronin i Wormhole w 2022 roku, wciąż zaliczają się do największych kradzieży w historii.

Straty z ataku na The Sandbox pozostają ograniczone

Często cytowana kwota 49 miliardów dolarów nie może być uznana za wartość skradzioną przez hakerów. Liczba ta odpowiada wartości rynkowej utworzonych tokenów.

Sprzedaż tych tokenów za taką kwotę jest niemożliwa, ponieważ za ich wytworzeniem nie stoi wystarczające zabezpieczenie. W razie sprzedaży cena SAND drastycznie by spadła.

Rzeczywiście skradziona kwota okazała się znacznie niższa. Według doniesień hakerzy przejęli około 14,75 miliona SAND, czyli tokeny o wartości blisko 675 000 dolarów, z których wyprowadzono około 79,74 ETH.

Giełdy reagują na atak na The Sandbox

Kilka głównych giełd szybko zareagowało na nieprawidłowość. Bithumb zablokował wpłaty i wypłaty tokenów SAND, a Upbit ostrzegł inwestorów przed nietypową aktywnością on-chain. Takie zawieszenia to standardowa reakcja ochronna, gdy w sieci pojawiają się tokeny bez pokrycia lub pochodzące z exploita, ponieważ uniemożliwiają one zamianę tych tokenów na inne aktywa na płynnej platformie. Kilka firm bezpieczeństwa, w tym CertiK, zgłosiło również tę lukę bezpieczeństwa, podczas gdy śledztwa były nadal w toku.

The Sandbox poinformowało później, że międzyłańcuchowy most tokena SAND na Base i BNB Smart Chain został naprawiony. Projekt podał, że całkowity wpływ był niższy niż 0,01% całej podaży SAND, i ujawnił, że Ethereum i Polygon nie zostały dotknięte.

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 — x.com/TheSandboxGame/status/2091063415649251821

Zespół dodał też, że portfele użytkowników nie zostały naruszone, a SAND zablokowany na Ethereum nie był zagrożony. Projekt wstrzymał funkcje mostów na Base i BSC oraz ostrzegł użytkowników przed kupowaniem, sprzedawaniem i handlem SAND w tych sieciach. Przy mostach na Base i BSC nadal wyłączonych i trwających śledztwach pełniejszy techniczny opis tego, jak dokładnie przejęto uprawnienia delegata LayerZero, nie został jeszcze opublikowany.

Nawet gdy incydent się rozgrywał, cena SAND nadal rosła, podnosząc się o 4,76% do poziomu 0,04737 dolara, a wolumen obrotu wzrósł o ponad 400%.