В результате взлома Sandbox Bridge было выпущено 14,9 млрд SAND, а Coinbase исключила фьючерсы из списка торгуемых инструментов

Уязвимость затронула мосты Base и BSC

Sandbox, игровая платформа в метавселенной, стоящая за токеном SAND, содержала уязвимость, затрагивающую ее кросс-чейн-бриджи на Base и BNB Smart Chain (BSC). Злоумышленник воспользовался механизмом эмиссии бриджей, чтобы создать токены SAND без реального обеспечения в обеих сетях. The Sandbox отключила мосты на Base и BSC сразу же после обнаружения уязвимости, лишив злоумышленника возможности дальнейшего перемещения поддельных токенов.

Инфраструктура мостов The Sandbox обычно работает следующим образом: токены SAND блокируются в одной цепочке (как правило, Ethereum), а в целевой сети чеканится эквивалентное количество токенов, полностью обеспеченное активами. Именно эта модель обеспечения в соотношении 1:1 дала сбой в ходе данного инцидента, что позволило чеканить токены на Base и BSC без соответствующей блокировки в исходной цепочке.

Аномалия в 14,9 миллиарда токенов

Peckshield выявила примерно 14,9 миллиарда токенов SAND без обеспечения, отчеканенных на двух адресах, связанных с уязвимостью. Масштаб этой цифры особенно впечатляет, учитывая, что легитимный общий объем предложения SAND ограничен 3 миллиардами токенов, а это означает, что отчеканенное количество почти в пять раз превышало количество всех реальных токенов SAND, которые когда-либо существовали или будут существовать.

Такое несоответствие часто встречается при эксплойтах мостов, когда злоумышленник манипулирует функцией чеканки смарт-контракта, а не крадет заблокированное обеспечение. Подобные атаки, основанные на чеканке токенов, в течение года затрагивали и другие протоколы, включая эксплойт моста, который позволил злоумышленнику отчеканить 1 миллиард несанкционированных токенов DOT на мосту Polkadot в начале 2026 года, а также менее масштабный инцидент, в ходе которого на мосту Alephium было создано примерно 13,76 миллиона токенов ALPH без обеспечения.

В каждом случае сфальсифицированные токены не имели реальной ценности и могли быть нейтрализованы после того, как затронутая цепочка заморозила взломанный контракт.

The Sandbox сообщила, что инцидент затронул менее 0,01% от общего предложения SAND с точки зрения подвергшегося риску реального обеспечения. По словам компании, токены SAND, хранящиеся на Ethereum и Polygon, в кошельках пользователей по всей экосистеме, а также заблокированные на Ethereum активы, обеспечивающие токен, остались нетронутыми на протяжении всей атаки.

В настоящее время платформа готовит план компенсации для соответствующих критериям поставщиков ликвидности, у которых были позиции, затронутые эмиссией без обеспечения, и рекомендовала пользователям воздерживаться от торговли SAND на Base или BSC до восстановления мостов.

Часть более глобальной проблемы безопасности мостов

В первой половине года убытки от атак на мосты в криптоиндустрии превысили 320 миллионов долларов, поскольку злоумышленники все чаще стали нацеливаться на смарт-контракты, соединяющие отдельные блокчейны, а не на отдельные протоколы. Bitcoin.com News отслеживал аналогичную тенденцию в последние месяцы, в том числе эксплойт Gravity Bridge, в результате которого хакер похитил 5,4 млн долларов и переправил средства через Binance, прежде чем след остыл.

Кроме того, стоит отметить, что SAND уже испытывал давление, не связанное с этой уязвимостью: на этой неделе его токен торговался на уровне около 0,039 доллара, а Coinbase объявила о планах исключить из листинга десять бессрочных фьючерсных контрактов, включая SAND, с 26 августа в рамках более широкого пересмотра объемов торгов и ликвидности на своих рынках деривативов.

Открытые позиции будут автоматически закрыты в этот момент, что станет вторым источником краткосрочной волатильности в дополнение к инциденту с мостом.

Следующим шагом для The Sandbox станет анализ причин сбоя в механизмах контроля эмиссии моста и проведение аудита безопасности перед возобновлением работы мостов между Base и BSC.