Що сталося
22 серпня 2026 року нападник дістав змогу випускати незабезпечений SAND у мережах Base і BNB Smart Chain — токени, за якими не стоять заблоковані резерви в Ethereum. Команда The Sandbox заявила, що вразливість «виявлено й повністю локалізовано», і вимкнула мости в обидві мережі. Токени в Ethereum і Polygon не постраждали, гаманці користувачів не скомпрометовано.
Деталі
Оцінки масштабу різняться на кілька порядків — і це головна деталь сюжету:
| Що рахували | Хто | Значення |
|---|---|---|
| Номінал випущеного | Blockaid | ~$49 млрд за 400+ транзакціями |
| Викарбувано токенів | PeckShield | 14,9 млрд SAND на дві адреси |
| Реально пішло з легітимних резервів | Crypto Briefing із посиланням на розбір інциденту | ~14,75 млн SAND (~$675 тис. на 22 серпня) і ~79,7 ETH |
| Оцінка самого проєкту | The Sandbox | менше ніж 0,01% загальної пропозиції |
Вектор атаки: перехоплення прав делегата LayerZero через функцію approveAndCall у стандарті OFT. Це дало змогу карбувати SAND на Base і BSC без застави в Ethereum. Вимкнення мостів зробило викарбувані токени непереміщуваними й непогашуваними, тому «$49 млрд» так і лишилися цифрою в блокчейні, а не грошима.
Корейські Upbit і Bithumb призупинили введення та виведення SAND, пославшись на закон про захист користувачів віртуальних активів. The Sandbox зберіг знімок пулів до інциденту й готує компенсації постачальникам ліквідності. За даними CoinGecko, 23 серпня SAND торгується близько $0,0444 за капіталізації ~$130 млн.
Що це означає
Стосується це насамперед тих, хто тримав SAND на Base чи BNB Chain, і постачальників ліквідності в пулах цих мереж: їхні токени зараз заморожені вимкненим мостом, а компенсації обіцяні, але не виплачені. Власникам в Ethereum і Polygon робити нічого не треба. Користувачам Upbit і Bithumb варто врахувати, що виведення SAND закрите до зняття обмежень біржами — строку вони не назвали.
Розрив між $49 млрд номіналу і $675 тис. реальних збитків — не привід розслабитися, а точна ілюстрація того, як працює мостовий експлойт: атака обмежена не майстерністю зловмисника, а глибиною ліквідності, з якої можна встигнути вийти. Горизонт зрозумілий: техзвіт і схему компенсацій проєкт обіцяв, до їх публікації оцінювати остаточні збитки зарано. Економіка самої гри при цьому не постраждала — що таке Sandbox Alpha і як влаштований проєкт, ми розбирали окремо.
Контекст
Вразливість лежала не в контрактах The Sandbox, а в делегуванні прав у мостовому стандарті — тому самому шарі, на якому працює LayerZero. Це вже третій помітний інцидент із крос-чейн-мостами за серпень 2026 року, і всі три об’єднує одна ознака: страждає не мережа-джерело, а мережа-отримувач, де токен випускається за чужим сигналом.
