ניצול לרעה של SAND הנפיק מטבעות בשווי 49 מיליארד דולר, אך הגניבה הוגבלה ל-675 אלף דולר

ניצול ה-SAND חשף פגם תצורה בחוזה טוקן אומניצ'ייני המבוסס על LayerZero ב-Base. בין 21 ל-22 באוגוסט 2026, התוקפים השתמשו בפונקציית approveAndCall כדי לחטוף הרשאות נציגים ולהנפיק 329.24 טריליון SAND ללא גיבוי ב-703 עסקאות במשך כחמש שעות. אף שלטוקנים המזויפים היה ערך נקוב של כמעט 49 מיליארד דולר, מגבלות הנזילות הגבילו את ההפסד שהתממש בפועל. התוקף משך כ-14.74–14.75 מיליון SAND מה-Ethereum OFT Adapter בפחות מדקה והמיר אותם לכ-80 ETH, בשווי של כ-675,000 דולר. פעילות מסחר קודמת כללה גם מכירת SAND מזויף בבורסות מבוזרות ב-Base. ה-SAND ב-Ethereum וב-Polygon, ארנקי המשתמשים והמפתחות הפרטיים של הפרויקט לא נפגעו. The Sandbox השביתה את חוזי הגשר שנפגעו ב-Base וב-BNB Chain, הסירה את הגדרות העמיתים של LayerZero באמצעות ממשל multisig ואמרה שהחוזים הישנים ייצאו משימוש. היא מתכננת לפצות מחזיקים זכאים ביחס של 1:1 מאוצר הפרויקט, בלי להנפיק SAND חדש. Coinbase ו-Binance החזיקו ברוב היתרות שנפגעו וצפויות להפיץ את הפיצוי, בעוד שמשתמשי ארנקים פרטיים יצטרכו להגיש תביעה דרך פורטל ייעודי. Upbit ו-Bithumb השעו העברות SAND, ו-Coinbase הסירה ממסחר חוזים תמידיים על SAND. SAND ירד בכמעט 10% במהלך היום, אך התאושש מרוב הירידה בתוך 24 שעות. על הסוחרים לעקוב אחר תהליך הפיצוי, תמיכת הבורסות, השקת הגשר מחדש, ביקורות החוזים, הנזילות וכל מעבר אפשרי מ-LayerZero ל-Chainlink CCIP. האירוע נותר זרז דובי בטווח הקצר ומדגיש את סיכוני האבטחה המתמשכים בגשרי בלוקצ'יין בין-רשתיים.