ช่องโหว่ของ SAND สร้างโทเคนมูลค่า 4.9 หมื่นล้านดอลลาร์ แต่ความเสียหายจากการโจรกรรมจำกัดอยู่ที่ 675,000 ดอลลาร์

การโจมตี SAND เผยให้เห็นข้อบกพร่องด้านการตั้งค่าในสัญญาโทเคนแบบ omnichain ที่ใช้ LayerZero บนเครือข่าย Base ระหว่างวันที่ 21–22 สิงหาคม 2026 ผู้โจมตีใช้ฟังก์ชัน approveAndCall เพื่อยึดสิทธิ์ของ delegate และสร้าง SAND ที่ไม่มีสินทรัพย์ค้ำประกันจำนวน 329.24 ล้านล้านโทเคน ผ่านธุรกรรม 703 รายการภายในเวลาประมาณห้าชั่วโมง แม้โทเคนปลอมดังกล่าวจะมีมูลค่าตามบัญชีเกือบ 49,000 ล้านดอลลาร์ แต่ข้อจำกัดด้านสภาพคล่องทำให้ความเสียหายที่เกิดขึ้นจริงมีจำกัด ผู้โจมตีถอน SAND ประมาณ 14.74–14.75 ล้านโทเคนจาก Ethereum OFT Adapter ภายในเวลาไม่ถึงหนึ่งนาที และแปลงเป็น ETH ประมาณ 80 เหรียญ มูลค่าราว 675,000 ดอลลาร์ กิจกรรมการซื้อขายก่อนหน้านี้ยังรวมถึงการขาย SAND ปลอมบนตลาดซื้อขายแบบกระจายศูนย์ของ Base ด้วย SAND บน Ethereum และ Polygon กระเป๋าของผู้ใช้ และคีย์ส่วนตัวของโครงการไม่ได้ถูกเจาะ The Sandbox ปิดใช้งานสัญญาบริดจ์ที่ได้รับผลกระทบบน Base และ BNB Chain ลบการตั้งค่า peer ของ LayerZero ผ่านการกำกับดูแลแบบ multisig และระบุว่าสัญญาเก่าจะถูกยุติการใช้งาน โครงการมีแผนชดเชยให้ผู้ถือที่มีสิทธิ์ในอัตรา 1:1 จากคลังของโครงการ โดยไม่ออก SAND ใหม่ Coinbase และ Binance ถือยอดคงเหลือที่ได้รับผลกระทบส่วนใหญ่และคาดว่าจะเป็นผู้แจกจ่ายค่าชดเชย ส่วนผู้ใช้กระเป๋าส่วนตัวต้องยื่นขอผ่านพอร์ทัลเฉพาะ Upbit และ Bithumb ระงับการโอน SAND และ Coinbase ถอดสัญญาฟิวเจอร์สแบบถาวรของ SAND ออกจากรายการ SAND ร่วงเกือบ 10% ระหว่างวัน แต่ฟื้นตัวเกือบทั้งหมดภายใน 24 ชั่วโมง ผู้ค้าควรติดตามกระบวนการชดเชย การสนับสนุนจากตลาดซื้อขาย การเปิดบริดจ์อีกครั้ง การตรวจสอบสัญญา สภาพคล่อง และการย้ายจาก LayerZero ไปยัง Chainlink CCIP หากเกิดขึ้น เหตุการณ์นี้ยังเป็นปัจจัยลบในระยะสั้น และสะท้อนความเสี่ยงด้านความปลอดภัยของบริดจ์ข้ามเครือข่ายที่ยังคงมีอยู่