Пісочниця отримує удар по монетному двору вартістю 700 мільйонів доларів, якого насправді ніколи не було

У суботу хтось знайшов дірку в кросчейн-системі The Sandbox, і протягом кількох годин токен SAND проекту метавсесвіту існував у двох реальностях одночасно. На папері зловмисник випустив майже 15 мільярдів непідкріплених SAND — приблизно в п'ять разів більше, ніж загальна кількість 3 мільярдів токена. На практиці він отримав приблизно 665 000 доларів. Обидві цифри є правдивими, і різниця між ними багато говорить про те, як насправді працюють ці експлойти мосту.

PeckShield першою помітила монетний двір, відстеживши 14,9 мільярда SAND на двох гаманцях, 0xAbE0…4D22 та 0x638C…F296. За ціною SAND того ранку це десь між 700 і 718 мільйонами доларів токенів, яких не повинно існувати. Blockaid, інша фірма з безпеки, яка стежила за тим самим контрактом, назвала цифру ще вищою — майже 49 мільярдів доларів номінальної вартості за понад 400 транзакціями — оскільки вона враховувала події монетного двору, поки атака ще тривала, а не остаточний підрахунок після того, як ситуація врегулювалася.

__КОРОТКИЙ_ТОКЕН_0__

Ось механізм, наскільки хтось досі зрозумів. SAND використовує стандарт токенів омнічейн LayerZero для переміщення між Ethereum, Base, BNB Smart Chain та Polygon без традиційного мосту блокування та карбування на кожному стрибку. Ця схема залежить від ролі "делегат", яка контролює повноваження карбування на кожному ланцюзі. Якимось чином зловмисник отримав контроль над цим делегатом у розгортанні Base та використав функцію під назвою approveAndCall, щоб обійти перевірки, які зазвичай зупиняють створення непідкріплених токенів. Ніхто поза The Sandbox та його аудиторами поки що не знає, чи це була помилка смарт-контракту, скомпрометований ключ чи щось інше — команда каже, що повний розтин наближається, і я б почекав його, перш ніж припускати, що саме.

Насправді важливим був бік Ethereum. Конструкція мосту Sandbox блокує справжні SAND на Ethereum для підтримки кожного токена, викарбуваного деінде. Зловмисник знайшов шлях для знешкодження цього замка: приблизно 14,75 мільйона SAND покинули OFT-адаптер Ethereum, більша частина з них — понад 14 мільйонів — у шести транзакціях протягом 24-секундного вікна, яке має відбитки скрипта, а не людини, яка натискає кнопки. Цей SAND був конвертований приблизно в 80 ETH, вартістю від 665 000 до 675 000 доларів США, залежно від того, який знімок ціни ви використовуєте. Це справжня втрата. Все інше — це завищена пропозиція, що лежить на ізольованому ланцюжку, якій нікуди не подітися.

Sandbox підтвердила експлойт на X, заявивши, що проблема була «виявлена та повністю локалізована», і що збитки склали менше 0,01% від загального обсягу поставок. Команда відрізала мостові з'єднання LayerZero від Base та BSC, що запобігає погашенню або переміщенню завищених токенів у будь-які важливі місця. За їхніми словами, Ethereum та Polygon SAND ніколи не були чіпані, і жодні гаманці користувачів не були скомпрометовані. Співзасновник Себастьян Борже додав більше краси в подальшому обговоренні, зазначивши, що команда виявила це протягом шести годин і залучила OpenZeppelin — фірму, яка спочатку проводила аудит контракту — для допомоги в з'ясуванні першопричини. Опубліковано знімок до інциденту, а також компенсацію постачальникам ліквідності, які опинилися на неправильному боці ізольованих пулів, хоча термінів виплат поки що немає.

__КОРОТКИЙ_ТОКЕН_1__

Біржі відреагували швидко, що говорить про те, наскільки нервовим залишається цей простір після такого року, як 2026. Bithumb заморозила депозити та виведення коштів на SAND. Upbit опублікувала попередження для користувачів. Coinbase підтвердила, що делістинг ф'ючерсів SAND відбувається 26 серпня. Ніщо з цього не скасовує експлойт, але показує, як швидко головна цифра — навіть фальшива — може поширитися ринковою інфраструктурою, перш ніж хтось підтвердить її реальність.

А ціна SAND? Справді сумбурна. Деякі торгові майданчики показали падіння токена на 5-10% протягом кількох годин після публікації новин. Інші показали його зростання, CoinMarketCap в якийсь момент показав зростання понад 10%, при цьому обсяг торгів зріс на кілька сотень відсотків, оскільки ф'ючерсні трейдери кинулися в обидва напрямки. Я не буду вдавати, що маю чітке пояснення цього розколу; низька ліквідність і паніка в обох напрямках можуть творити дивні речі з токеном, який вже впав більш ніж на 99% від свого максимуму 2021 року в $8,40.

Це навіть не нова категорія невдач. Зловживання делегатами та одноранговими користувачами LayerZero вже проявилося щонайменше у трьох окремих інцидентах з весни — експлойт мосту Polkadot, який призвів до появи мільярда неавторизованих токенів DOT, менший удар по мосту ALPH від Alephium, і тепер це. Додайте приблизно 4 мільярди неавторизованих токенів ONE від Harmony на початку цього року та окреме порушення прав власності WEMIX, і ви почнете бачити закономірність: у 2026 році право на кросчейн-мінтинг все ще часто стоїть за єдиною точкою відмови, яку проекти виявляють лише після того, як хтось її вже знайшов. У власному звіті Blockaid за середині року підтверджені втрати від експлойтів склали 1,1 мільярда доларів за 212 інцидентів лише за першу половину 2026 року, причому компрометації інфраструктури та ключових елементів були повторюваною темою, а не винятком.

Видання «The Sandbox» повідомляє, що технічний звіт вже на підході. А поки що, чесно кажучи, підсумок такий: ніхто не крав 700 мільйонів доларів, але хтось знайшов справжню тріщину в широко використовуваному стандарті мостів, і це виправлення важливіше, ніж страшна цифра в заголовках.