В игре The Sandbox появляется денежный приз в 700 миллионов долларов, которого на самом деле никогда не существовало.

В субботу кто-то обнаружил уязвимость в кроссчейн-инфраструктуре проекта The Sandbox, и на несколько часов токен SAND этого метавселенного проекта существовал одновременно в двух реальностях. На бумаге злоумышленник выпустил почти 15 миллиардов необеспеченных токенов SAND — примерно в пять раз больше, чем весь объем предложения токена в 3 миллиарда. На практике же он получил примерно 665 000 долларов. Обе цифры верны, и разница между ними многое говорит о том, как на самом деле работают подобные уязвимости.

Компания PeckShield первой обнаружила утечку токенов, отследив 14,9 миллиарда SAND по двум кошелькам: 0xAbE0…4D22 и 0x638C…F296. По цене SAND тем утром, это примерно от 700 до 718 миллионов долларов токенов, которых быть не должно. Blockaid, другая компания, занимающаяся вопросами безопасности и отслеживающая тот же контракт, оценила сумму еще выше — почти 49 миллиардов долларов номинальной стоимости по более чем 400 транзакциям — поскольку учитывала события создания токенов, когда атака еще продолжалась, а не окончательный подсчет после того, как ситуация стабилизировалась.

__КОРОТКИЙ_ТОКЕН_0__

Вот механизм, насколько нам удалось выяснить на данный момент. SAND использует стандарт токенов Omnichain от LayerZero для перемещения между Ethereum, Base, BNB Smart Chain и Polygon без традиционного моста блокировки и создания токенов на каждом этапе. Эта схема зависит от роли «делегата», который контролирует полномочия по созданию токенов в каждой цепочке. Каким-то образом злоумышленник получил контроль над этим делегатом в развертывании Base и использовал функцию approveAndCall чтобы обойти проверки, которые обычно препятствуют созданию необеспеченных токенов. Никто за пределами The Sandbox и его аудиторов пока не знает, была ли это ошибка в смарт-контракте, скомпрометированный ключ или что-то еще — команда говорит, что полный анализ ситуации будет проведен, и я бы подождал его, прежде чем делать какие-либо предположения.

На самом деле решающее значение имела сторона Ethereum. Конструкция моста Sandbox блокирует реальные SAND на Ethereum для обеспечения каждого токена, выпущенного в другом месте. Злоумышленник нашел способ снять эту блокировку: примерно 14,75 миллионов SAND покинули адаптер Ethereum OFT, большая часть из них — более 14 миллионов — за шесть транзакций в течение 24 секунд, что выглядит как работа скрипта, а не человека, нажимающего кнопки. Эти SAND были конвертированы примерно в 80 ETH, стоимость которых составляет от 665 000 до 675 000 долларов в зависимости от используемого снимка цены. Это и есть реальная потеря. Все остальное — это раздутое предложение, находящееся в изолированной цепочке и которому некуда деваться.

В Sandbox подтвердили наличие уязвимости на X, заявив, что «выявили и полностью локализовали» проблему, а ущерб составил менее 0,01% от общего объема предложения. Команда отключила мостовые соединения LayerZero с Base и BSC, что предотвращает выкуп или перемещение раздутых токенов в любое важное место. По их словам, Ethereum и Polygon SAND не были затронуты, и кошельки пользователей не были скомпрометированы. Соучредитель Себастьян Борже добавил подробности в последующем обсуждении, отметив, что команда обнаружила уязвимость в течение шести часов и привлекла OpenZeppelin — фирму, которая первоначально проводила аудит контракта, — для выяснения первопричины. Будет опубликован снимок состояния до инцидента, а также информация о компенсации поставщикам ликвидности, оказавшимся в невыгодном положении в изолированных пулах, хотя сроки выплат пока не определены.

__КОРОТКИЙ_ТОКЕН_1__

Биржи отреагировали быстро, что говорит о том, насколько нервничает рынок после такого года, как 2026. Bithumb заморозила внесение и вывод средств по SAND. Upbit выпустила предупреждение для пользователей. Coinbase подтвердила, что 26 августа исключает фьючерсы на SAND из листинга. Ничто из этого не отменяет мошенничество, но показывает, как быстро заголовок — даже фейковый — может распространиться по рыночной инфраструктуре, прежде чем кто-либо подтвердит его достоверность.

А что насчет цены SAND? Ситуация действительно запутанная. На одних площадках цена токена упала на 5–10% в течение нескольких часов после появления новостей. На других наблюдался рост, CoinMarketCap в какой-то момент показал рост более чем на 10%, а объем торгов подскочил на несколько сотен процентов, поскольку трейдеры фьючерсами активно вкладывали средства в обоих направлениях. Я не буду делать вид, что у меня есть четкое объяснение этому расхождению; низкая ликвидность и паника в обоих направлениях могут творить странные вещи с токеном, который уже упал более чем на 99% по сравнению с максимумом 2021 года в $8,40.

Это даже не новая категория сбоев. Злоупотребления делегатами и пиринговыми узлами LayerZero проявились как минимум в трех отдельных инцидентах с весны — эксплойт моста Polkadot, в результате которого было выпущено миллиард несанкционированных токенов DOT, меньший удар по мосту ALPH от Alephium, и теперь вот это. Добавьте к этому примерно 4 миллиарда несанкционированных токенов ONE от Harmony в начале этого года и отдельное нарушение прав собственности WEMIX, и вы начнете видеть закономерность: в 2026 году полномочия по кроссчейн-выпуску токенов по-прежнему часто находятся за одной точкой отказа, которую проекты обнаруживают только после того, как кто-то уже ее обнаружил. Собственный отчет Blockaid за первое полугодие показал, что подтвержденные потери от эксплойтов составили 1,1 миллиарда долларов в результате 212 инцидентов только за первую половину 2026 года, причем компрометация инфраструктуры и ключей является повторяющейся темой, а не исключением.

В Sandbox заявляют, что технический отчет уже готовится. А пока можно кратко резюмировать следующее: никто не украл 700 миллионов долларов, но кто-то обнаружил реальную уязвимость в широко используемом стандарте мостостроения, и решение проблемы важнее, чем пугающая цифра в заголовке.