Що сталося
22 серпня 2026 року нападник дістав змогу випускати незабезпечений SAND у мережах Base і BNB Smart Chain — токени, за якими не стоять заблоковані резерви в Ethereum. Команда The Sandbox заявила, що вразливість «виявлено й повністю локалізовано», і вимкнула мости в обидві мережі. Токени в Ethereum і Polygon не постраждали, гаманці користувачів не скомпрометовано.
Деталі
Оцінки масштабу різняться на кілька порядків — і це головна деталь сюжету:Що рахували Хто Значення Номінал випущеного Blockaid ~$49 млрд за 400+ транзакціями Викарбувано токенів PeckShield 14,9 млрд SAND на дві адреси Реально пішло з легітимних резервів Crypto Briefing із посиланням на розбір інциденту ~14,75 млн SAND (~$675 тис. на 22 серпня) і ~79,7 ETH Оцінка самого проєкту The Sandbox менше ніж 0,01% загальної пропозиції
Вектор атаки: перехоплення прав делегата LayerZero через функцію approveAndCall у стандарті OFT. Це дало змогу карбувати SAND на Base і BSC без застави в Ethereum. Вимкнення мостів зробило викарбувані токени непереміщуваними й непогашуваними, тому «$49 млрд» так і лишилися цифрою в блокчейні, а не грошима.
Корейські Upbit і Bithumb призупинили введення та виведення SAND, пославшись на закон про захист користувачів віртуальних активів. The Sandbox зберіг знімок пулів до інциденту й готує компенсації постачальникам ліквідності. За даними CoinGecko, 23 серпня SAND торгується близько $0,0444 за капіталізації ~$130 млн.
Що це означає
Стосується це насамперед тих, хто тримав SAND на Base чи BNB Chain, і постачальників ліквідності в пулах цих мереж: їхні токени зараз заморожені вимкненим мостом, а компенсації обіцяні, але не виплачені. Власникам в Ethereum і Polygon робити нічого не треба. Користувачам Upbit і Bithumb варто врахувати, що виведення SAND закрите до зняття обмежень біржами — строку вони не назвали.
Розрив між $49 млрд номіналу і $675 тис. реальних збитків — не привід розслабитися, а точна ілюстрація того, як працює мостовий експлойт: атака обмежена не майстерністю зловмисника, а глибиною ліквідності, з якої можна встигнути вийти. Горизонт зрозумілий: техзвіт і схему компенсацій проєкт обіцяв, до їх публікації оцінювати остаточні збитки зарано. Економіка самої гри при цьому не постраждала — що таке Sandbox Alpha і як влаштований проєкт, ми розбирали окремо.
Контекст
Вразливість лежала не в контрактах The Sandbox, а в делегуванні прав у мостовому стандарті — тому самому шарі, на якому працює LayerZero. Це вже третій помітний інцидент із крос-чейн-мостами за серпень 2026 року, і всі три об’єднує одна ознака: страждає не мережа-джерело, а мережа-отримувач, де токен випускається за чужим сигналом.
