Компания The Sandbox подтвердила и локализовала уязвимость в своём кросс-чейн мосте SAND, которая позволяла злоумышленнику выпускать необеспеченные токены SAND в сетях Base и BNB Smart Chain (BSC). Base — это сеть Ethereum уровня 2 (Layer-2), выращенная в инкубаторе Coinbase, тогда как BNB Smart Chain — совместимый с EVM блокчейн, управляемый Binance. SAND — нативный токен The Sandbox, метавселенной игровой платформы на базе Ethereum, — обычно попадает в обе сети только через блокировку в качестве залога и выпуск эквивалентного количества токенов. Специализирующаяся на блокчейн-безопасности компания Blockaid выявила около 49 млрд долларов фальшивого SAND по номинальной стоимости в более чем 400 транзакциях, при этом проект утверждает, что инцидент затрагивает менее 0,01% общего объёма предложения токенов SAND.

Взлом моста привёл к экстренной остановке

По словам The Sandbox, изъян затронул инфраструктуру кросс-чейн моста, связывающего SAND в сетях BSC и Base, то есть злоумышленник мог выпускать токены SAND без обеспечения, которое обычно требуется для мостового предложения. Мосты подобной конструкции «lock-and-mint» хранят исходные токены в резерве на исходной цепочке, поэтому разрыв связи между заблокированным залогом и выпущенным предложением позволяет создавать новые токены без какого-либо обеспечения.

Проект сообщил об инциденте в X:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

В ответ проект остановил всю активность по переводу через мост и обратно между двумя сетями. В результате SAND, находящийся сейчас в Base и BSC, оказался изолированным: его нельзя перевести обратно через мост или погасить через затронутые кросс-чейн маршруты. Остановка движения через мост — стандартная мера локализации, поскольку необеспеченные токены остаются доступными для перевода в целевых сетях независимо от статуса моста.

Трейдеры также получили от The Sandbox чёткое предупреждение: пользователям посоветовали не покупать, не продавать и не торговать SAND ни в Base, ни в BSC с учётом состояния ликвидности в этих сетях.

The Sandbox сообщила, что её развёртывания на Ethereum и Polygon не пострадали, ни один пользовательский кошелёк не был скомпрометирован, а SAND, заблокированный на стороне Ethereum, — залог, обеспечивающий действительные мостовые токены, — остаётся нетронутым.

Цифра в 49 млрд долларов отражает масштаб выпуска фальшивых токенов

Наибольшую цифру назвала специализирующаяся на блокчейн-безопасности компания Blockaid, выявившая около 49 млрд долларов SAND, выпущенного по номинальной стоимости в более чем 400 транзакциях.

Эта цифра не отражает стоимость активов, потерянных или выведенных из протокола. Скорее, она отражает рыночную стоимость большого количества необеспеченных токенов, созданных в ходе эксплойта. Это различие существенно: SAND, выпущенный злоумышленником, не имеет резервного обеспечения со стороны легитимного кросс-чейн предложения и не может считаться легитимной ликвидностью. На практике необеспеченные выпуски наносят ущерб пуловой ликвидности, а не заблокированным резервам: любые фальшивые токены, проданные в пулы Base или BSC, шли бы за счёт поставщиков ликвидности на другой стороне этих пулов, и именно на этот риск нацелена готовящаяся проектом программа компенсаций.

Расследование продолжается, и, по словам The Sandbox, далее последуют детальный отчёт об инциденте и технический постмортем.

План компенсаций нацелен на пострадавших поставщиков ликвидности

Ведётся подготовка плана компенсаций, включая снимок состояния экосистемы Sandbox, сделанный до инцидента. План будет нацелен на пользователей BSC в отдельных пулах ликвидности на Base. Проект пока не опубликовал ни итоговый компенсационный пакет, ни общую сумму, которая может быть выделена.

The Sandbox заявила, что обычным держателям SAND на Ethereum и Polygon ничего делать не нужно.

Инцидент вновь вывел на первый план вопросы безопасности кросс-чейн-инфраструктуры. Мосты неоднократно входили в число самых дорого обходящихся криптоиндустрии поверхностей атак: взлом Ronin Bridge в марте 2022 года привёл к хищению более 600 млн долларов, за несколько недель до этого Wormhole потерял около 320 млн долларов, а по оценке Chainalysis, на эксплойты мостов в том году приходилось около 69% средств, похищенных в результате крипто-взломов. Непосредственные приоритеты The Sandbox — локализовать инцидент в затронутых сетях, проанализировать его масштабы и выплатить компенсации соответствующим поставщикам ликвидности; открытыми вопросами остаются технический постмортем, окончательные условия и перечень пулов для компенсаций, а также последующее возобновление работы моста между Base и BSC.