Что произошло
22 августа 2026 года атакующий получил возможность выпускать необеспеченный SAND в сетях Base и BNB Smart Chain — токены, за которыми не стоят заблокированные резервы в Ethereum. Команда The Sandbox заявила, что уязвимость «выявлена и полностью локализована», и отключила мосты в обе сети. Токены в Ethereum и Polygon не затронуты, кошельки пользователей не скомпрометированы.
Детали
Оценки масштаба расходятся на несколько порядков — и это главная деталь сюжета:Что считали Кто Значение Номинал выпущенного Blockaid ~$49 млрд по 400+ транзакциям Наминчено токенов PeckShield 14,9 млрд SAND на два адреса Реально ушло из легитимных резервов Crypto Briefing со ссылкой на разбор инцидента ~14,75 млн SAND (~$675 тыс. на 22 августа) и ~79,7 ETH Оценка самого проекта The Sandbox менее 0,01% от общего предложения
Вектор атаки: перехват прав делегата LayerZero через функцию approveAndCall в стандарте OFT. Это позволило чеканить SAND на Base и BSC без залога в Ethereum. Отключение мостов сделало наминченные токены неперемещаемыми и непогашаемыми, поэтому «$49 млрд» так и остались цифрой в блокчейне, а не деньгами.
Корейские Upbit и Bithumb приостановили ввод и вывод SAND, сославшись на закон о защите пользователей виртуальных активов. The Sandbox сохранил снапшот пулов до инцидента и готовит компенсации поставщикам ликвидности. По данным CoinGecko, 23 августа SAND торгуется около $0,0444 при капитализации ~$130 млн.
Что это значит
Касается это в первую очередь тех, кто держал SAND на Base или BNB Chain и поставщиков ликвидности в пулах этих сетей: их токены сейчас заморожены отключённым мостом, а компенсации обещаны, но не выплачены. Держателям в Ethereum и Polygon делать ничего не нужно. Пользователям Upbit и Bithumb стоит учесть, что вывод SAND закрыт до снятия ограничений биржами — срок они не назвали.
Разрыв между $49 млрд номинала и $675 тыс. реального ущерба — не повод расслабиться, а точная иллюстрация того, как работает мостовой эксплойт: атака ограничена не мастерством взломщика, а глубиной ликвидности, из которой можно успеть выйти. Горизонт понятен: техотчёт и схема компенсаций обещаны проектом, до их публикации оценивать окончательный убыток рано. Экономика самой игры при этом не пострадала — что такое Sandbox Alpha и как устроен проект, мы разбирали отдельно.
Контекст
Уязвимость лежала не в контрактах The Sandbox, а в делегировании прав в мостовом стандарте — том самом слое, на котором работает LayerZero. Это уже третий заметный инцидент с кросс-чейн-мостами за август 2026 года, и все три объединяет один признак: страдает не сеть-источник, а сеть-получатель, где токен выпускается по чужому сигналу.
