Un piratage du pont Sandbox a généré 14,9 milliards de SAND, tandis que Coinbase retire ses contrats à terme de sa liste

Une faille affecte les ponts Base et BSC

The Sandbox, la plateforme de jeux dans le métaverse à l'origine du token SAND, présentait une vulnérabilité affectant ses ponts inter-chaînes sur Base et BNB Smart Chain (BSC). Un attaquant a exploité le mécanisme de création de ces ponts pour générer des tokens SAND sans contrepartie réelle sur les deux réseaux. The Sandbox a désactivé les ponts sur Base et BSC dès la détection de l’exploitation, empêchant ainsi le pirate de transférer davantage les jetons fabriqués de toutes pièces.

L’infrastructure des ponts de The Sandbox fonctionne normalement en bloquant des SAND sur une chaîne, généralement Ethereum, et en frappant un montant équivalent, entièrement garanti, sur le réseau de destination. C’est ce modèle de garantie à 1:1 qui a failli lors de cet incident, permettant la frappe de tokens sur Base et BSC sans blocage correspondant sur la chaîne source.

Une anomalie de 14,9 milliards de jetons

Peckshield a identifié environ 14,9 milliards de SAND sans garantie, créés sur deux adresses liées à l’exploitation de la faille. L’ampleur de ce chiffre est frappante étant donné que l’offre totale légitime de SAND est plafonnée à 3 milliards de jetons, ce qui signifie que la quantité créée était près de cinq fois supérieure à l’ensemble des jetons SAND réels qui aient jamais existé ou qui existeront un jour.

Ce décalage est courant dans les exploits de ponts, où un attaquant manipule la fonction de frappe d’un contrat intelligent plutôt que de voler réellement des garanties verrouillées. Des attaques similaires basées sur la frappe de jetons ont touché d’autres protocoles tout au long de l’année, notamment une faille de sécurité dans un pont qui a permis à un attaquant de frapper 1 milliard de jetons DOT non autorisés sur le pont de Polkadot au début de l’année 2026, ainsi qu’un incident de moindre ampleur au cours duquel environ 13,76 millions de jetons ALPH sans contrepartie ont été créés sur le pont Alephium.

Dans chaque cas, les jetons fabriqués n’avaient aucune valeur réelle et ont pu être neutralisés dès que la chaîne concernée a gelé le contrat exploité.

The Sandbox a déclaré que l’incident avait affecté moins de 0,01 % de l’offre totale de SAND en termes de garanties réelles menacées. Les SAND détenus sur Ethereum et Polygon, dans les portefeuilles des utilisateurs à travers l’écosystème, ainsi que les actifs verrouillés sur Ethereum qui garantissent le token, sont restés intacts tout au long de l’exploitation, a précisé la société.

La plateforme prépare actuellement un plan d’indemnisation pour les fournisseurs de liquidité éligibles qui détenaient des positions affectées par cette émission non adossée, et elle a conseillé aux utilisateurs de ne pas échanger de SAND sur Base ou BSC jusqu’à ce que les ponts soient rétablis.

Un problème de sécurité des ponts plus vaste

Les exploits visant les ponts ont entraîné plus de 320 millions de dollars de pertes dans l’ensemble du secteur des cryptomonnaies au cours du premier semestre, les attaquants ciblant de plus en plus les contrats intelligents qui relient des blockchains distinctes plutôt que des protocoles individuels. Bitcoin.com News a observé une tendance similaire ces derniers mois, notamment avec l’exploitation du Gravity Bridge, au cours de laquelle un pirate a détourné 5,4 millions de dollars et acheminé les fonds via Binance avant que la piste ne s’égare.

Par ailleurs, il convient de mentionner que le SAND subissait déjà des pressions indépendamment de cette attaque : son token se négociait à près de 0,039 $ cette semaine, et Coinbase a annoncé son intention de retirer de la cotation dix contrats à terme perpétuels, dont le SAND, à compter du 26 août, dans le cadre d’un examen plus large des volumes de négociation et de la liquidité sur l’ensemble de ses marchés dérivés.

Les positions ouvertes seront alors automatiquement réglées, ce qui ajoutera une deuxième source de volatilité à court terme à celle déjà provoquée par l’incident du pont. La prochaine étape pour The Sandbox consiste à mener une analyse rétrospective sur les défaillances des contrôles de création de jetons du pont, ainsi qu’un audit de sécurité, avant que les ponts vers Base et BSC ne soient réactivés.