22 августа 2026 года злоумышленник получил права на произвольную эмиссию токенов в контракте SAND проекта The Sandbox, развёрнутом в сети Base, — в конфигурации LayerZero Omnichain Fungible Token (OFT), используемой для перемещения токенов между цепочками. В рамках этой модели «lock-and-mint» SAND блокируется на Ethereum, а на целевых цепочках выпускается эквивалентное количество токенов, так что каждый кросс-чейн токен должен иметь обеспечение один к одному. Злоумышленник выпустил около 14,9 млрд необеспеченных токенов SAND — количество, значительно превышающее всё предложение в 3 млрд токенов в основной сети Ethereum, — после чего проект приостановил мостовые переводы на Base и BNB Smart Chain, чтобы локализовать ущерб. Фактические потери оказались существенно меньше: с Ethereum было выведено около 14,75 млн SAND, что принесло атакующему примерно $675 000, или 80 ETH. SAND на Ethereum и Polygon не пострадал, а пользовательские кошельки не были скомпрометированы.

⚠️ALERT: Sandbox hit by a major security breach as attackers mint 49B of unbacked $SAND, compromising its ENTIRE liquidity across BSC and Base. The team has confirmed the exploit and isolated SAND liquidity on BSC and Base, while disabling bridging to and from both networks.… pic.twitter.com/UdvHTm7wuu

— Coin Bureau (@coinbureau) August 22, 2026

Согласно анализу данных блокчейна, злоумышленник злоупотребил функцией «approveAndCall», чтобы перехватить права делегата LayerZero. Полученный контроль позволил выпускать токены на Base без какого-либо обеспечения со стороны реальных заблокированных SAND, хранящихся на Ethereum. Специализирующаяся на безопасности блокчейнов компания Blockaid обнаружила эксплойт ещё во время его осуществления. PeckShield отдельно подтвердила, что примерно 14,9 млрд токенов SAND были выпущены на двух адресах: 0xAbE0…4D22 и 0x638C…F296.

#PeckShieldAlert Seems like The @TheSandboxGame ($SAND) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR

— PeckShieldAlert (@PeckShieldAlert) August 22, 2026

Широко разошедшаяся в заголовках цифра в $49 млрд основана на применении рыночной цены SAND к необеспеченным токенам. Эта сумма не представляет собой украденные средства: она значительно превышает любую доступную ликвидность и не может быть реализована. Прямой ущерб оказался меньше. По данным BlockWatchdog, примерно 14,75 млн SAND было выведено из OFT-адаптера на Ethereum менее чем за минуту, а фактически полученная выручка составила около 80 ETH, что эквивалентно примерно $675 000. The Sandbox сообщила, что при прямом измерении эксплойт затронул менее 0,01% из общего предложения в 3 млрд токенов SAND.

Как отреагировала The Sandbox

Проект отключил мостовые переводы в обоих направлениях между Base и BNB Smart Chain, в результате чего токены в этих сетях не могут перемещаться или выводиться. Мультисиг-кошелёк проекта также обнулил пиры LayerZero для Ethereum и BNB Smart Chain, фактически изолировав Base. Команда предупредила пользователей не покупать, не продавать и не торговать SAND на Base или BNB из-за скомпрометированной ликвидности. Было подтверждено, что SAND на Ethereum и Polygon не пострадал, а заблокированные на Ethereum для обеспечения кросс-чейн токенов SAND остались нетронутыми.

Южнокорейские биржи оперативно отреагировали после того, как он-чейн алерты сигнализировали о взломе. Upbit выпустила предупреждение об осторожности при торговле SAND, а Bithumb приостановила ввод и вывод SAND.

The Sandbox — дочерняя компания Animoca Brands, привлекшая $93 млн в 2021 году, — представляет собой игровую метавселенную с пользовательским контентом, где игроки создают и монетизируют воксельные форматы, а SAND выполняет роль utility-токена стандарта ERC-20 для внутриигровых транзакций, покупки участков LAND, стейкинга и управленческого голосования. Компания сообщила, что делает снимок состояния на момент до инцидента и готовит компенсации для подходящих под критерии пользователей затронутых пулов ликвидности. Запланирован технический разбор инцидента. На момент написания материала команда не публиковала полного официального заявления о первопричине эксплойта.

После инцидента SAND в течение дня подешевел почти на 10%, однако за 24-часовой период снижение составило лишь 0,8%.

Эксплойт подчёркивает известный структурный риск кросс-чейн развёртываний токенов. Выпуск токенов во вторичной цепочке не создаёт нового предложения на Ethereum, однако необеспеченные токены всё же могут попадать на биржи и давить на цены. Мостовая и межцепочечная инфраструктура породила одни из крупнейших потерь в истории криптобезопасности — кража примерно $600 млн из Ronin Bridge и эксплойт Wormhole примерно на $320 млн, оба произошедшие в 2022 году, входят в число крупнейших за всю историю, — хотя фактическая выручка в данном случае, около $675 000, составляет лишь малую долю этих сумм. К числу ожидающих решения вопросов относятся обновления от Upbit и Bithumb о возобновлении торгов SAND, а также официальный план восстановления или сжигания токенов от The Sandbox.

Источник: CoinCentral