Hack mostu Sandbox přinesl 14,9 miliardy SAND, zatímco Coinbase vyřadila futures z nabídky

Útok zasáhl mosty na sítích Base a BSC

Sandbox, herní platforma v metaverse stojící za tokenem SAND, obsahovala zranitelnost ovlivňující její mezireťazcové mosty na sítích Base a BNB Smart Chain (BSC). Útočník zneužil mechanismus ražby těchto mostů k vytvoření tokenů SAND bez reálného krytí v obou sítích. The Sandbox deaktivoval propojení na sítích Base a BSC ihned po odhalení exploitu, čímž útočníkovi znemožnil další přesun falešných tokenů.

Infrastruktura mostů platformy The Sandbox obvykle funguje tak, že se tokeny SAND uzamknou v jednom řetězci, typicky v Ethereu, a v cílové síti se vyrazí ekvivalentní množství plně kryté aktivy. Právě tento model krytí v poměru 1:1 selhal při tomto incidentu, což umožnilo ražbu tokenů na sítích Base a BSC bez odpovídajícího uzamčení v zdrojovém řetězci.

Anomálie ve výši 14,9 miliardy tokenů

Společnost Peckshield identifikovala přibližně 14,9 miliardy nezajištěných tokenů SAND vyražených na dvou adresách spojených s touto bezpečnostní chybou. Rozsah tohoto čísla je o to výraznější, že legitimní celková nabídka SAND je omezena na 3 miliardy tokenů, což znamená, že vyražené množství bylo téměř pětkrát větší než všechny skutečné tokeny SAND, které kdy existovaly nebo budou existovat.

Tento nesoulad je běžný u exploitů mostů, kde útočník manipuluje s funkcí ražby smart kontraktu, místo aby skutečně ukradl uzamčené zajištění. Podobné útoky založené na ražbě zasáhly v průběhu roku i další protokoly, včetně exploitu mostu, který útočníkovi umožnil na začátku roku 2026 vyrazit 1 miliardu neautorizovaných tokenů DOT na mostě Polkadotu, a menšího incidentu, při kterém bylo na mostě Alephium vytvořeno přibližně 13,76 milionu nekrytých tokenů ALPH.

V každém z těchto případů neměly zfalšované tokeny žádnou skutečnou hodnotu a bylo možné je zneškodnit, jakmile postižený řetězec zmrazil zneužitý kontrakt.

Společnost The Sandbox uvedla, že incident ovlivnil méně než 0,01 % celkové nabídky SAND z hlediska skutečného krytí, které bylo ohroženo. SAND držený na sítích Ethereum a Polygon, v peněženkách uživatelů v rámci celého ekosystému a aktiva uzamčená na Ethereu, která token kryjí, zůstaly během celého útoku nedotčeny, uvedla společnost.

Platforma nyní připravuje plán kompenzací pro oprávněné poskytovatele likvidity, kteří drželi pozice zasažené ražbou bez krytí, a doporučila uživatelům, aby s tokenem SAND neobchodovali na platformách Base ani BSC, dokud nebudou mosty obnoveny.

Součást širšího problému s bezpečností mostů

Ztráty způsobené zneužitím mostů v kryptoměnovém odvětví v první polovině roku přesáhly 320 milionů dolarů, protože útočníci se stále častěji zaměřují na smart kontrakty, které propojují samostatné blockchainy, spíše než na jednotlivé protokoly. Bitcoin.com News v posledních měsících zaznamenal podobný vzorec, včetně zneužití mostu Gravity Bridge, při kterém hacker odcizil 5,4 milionu dolarů a přesměroval prostředky přes Binance, než se stopa ztratila.

Kromě toho je třeba zmínit, že SAND čelil tlaku již nezávisle na tomto útoku – cena jeho tokenu se tento týden pohybovala kolem 0,039 USD a Coinbase oznámila své plány na vyřazení deseti kontraktů na věčné futures, včetně SAND, s účinností od 26. srpna, a to v rámci širšího přezkumu objemu obchodování a likvidity na svých trzích s deriváty.

Otevřené pozice budou v tu chvíli automaticky vypořádány, což kromě incidentu s mostem představuje další zdroj krátkodobé volatility.

Dalším krokem pro The Sandbox je analýza příčin selhání kontrol ražby mostu a bezpečnostní audit předtím, než bude propojení s Base a BSC znovu zprovozněno.