Une faille de configuration de pont sur Base et BNB Smart Chain a permis à des attaquants de détourner les permissions de délégué de LayerZero, de frapper des milliards de jetons SAND fantômes et de drainer environ 675 000 $ du coffre-fort Ethereum avant que l'équipe ne ferme tout. La valeur nominale de 49 milliards de dollars en tête de titre masquait la véritable histoire : des contraintes structurelles signifiaient que l'attaquant n'aurait jamais pu encaisser plus qu'une fraction de ce qui avait été créé.
Résumé
- Un attaquant a exploité la fonction `approveAndCall` sur le contrat de jeton fongible omnichain SAND de The Sandbox sur Base, détournant les permissions de délégué de LayerZero et frappant 329,24 billions de SAND non adossés à travers 703 événements sur cinq heures les 21 et 22 août 2026.
- La valeur nominale des jetons frappés a atteint environ 49 milliards de dollars selon la société de sécurité Blockaid, mais l'extraction réelle totalisait environ 14,75 millions de SAND (environ 80 ETH, soit 675 000 $) drainés de l'adaptateur OFT Ethereum en moins de 60 secondes.
- The Sandbox a désactivé le pontage sur Base et BNB Smart Chain, supprimé les paramètres de pairs LayerZero via la gouvernance multisig, et confirmé que SAND sur Ethereum et Polygon est resté intact tout au long de l'incident.
- Le projet a annoncé un plan de remboursement 1:1 depuis son trésor pour les détenteurs éligibles, sans nouvelle frappe de jetons SAND et un portail de réclamations attendu dans les deux semaines suivant le post-mortem du 27 août.
- L'exploit a marqué la troisième grande défaillance de pont liée à LayerZero en cinq mois, accélérant une vague de migration de 15 milliards de dollars de LayerZero vers Chainlink CCIP menée par BitGo, Mantle et Lombard.
Dans la nuit du 21 août 2026, une adresse inactive depuis 313 jours a acheminé une charge utile conçue via le contrat de jeton SAND de The Sandbox sur Base. En cinq heures, les explorateurs de blockchain ont montré des billions de jetons SAND fraîchement frappés se répandant à travers 173 portefeuilles. La société de sécurité PeckShield a signalé l'activité en premier, et au moment où l'équipe de The Sandbox a répondu, l'attaquant avait déjà extrait ce qu'il pouvait et était passé à autre chose. Les chiffres en tête de titre étaient stupéfiants, mais les dommages financiers réels racontaient une histoire très différente.
L'écart entre la valeur nominale des jetons frappés et le montant réel volé révèle quelque chose d'important sur la façon dont les exploits de pont fonctionnent réellement. Cela expose également un schéma récurrent dans l'infrastructure inter-chaînes : les mêmes choix de conception qui rendent les ponts utiles les rendent également fragiles, et une seule mauvaise configuration peut ouvrir une porte qui coûte des millions à fermer.
Comment l'exploit approveAndCall a fonctionné
La racine technique de l'attaque se trouvait dans une fonction appelée `approveAndCall` sur le contrat de jeton fongible omnichain SAND de The Sandbox déployé sur Base. Dans une configuration OFT standard construite sur LayerZero, une adresse déléguée sur la chaîne de destination détient des droits administratifs sur la configuration du point de terminaison. Ces droits incluent la capacité de définir des pairs de confiance, de mettre à jour les piles de sécurité et d'autoriser des appels privilégiés dans le contrat de jeton.
L'attaquant a découvert que la fonction `approveAndCall` pouvait être utilisée comme arme pour détourner ces permissions de délégué. En acheminant une charge utile conçue via le contrat de jeton SAND, l'attaquant a manipulé le mécanisme de délégation et pris le contrôle du processus de frappe sur Base. Une fois le délégué compromis, l'OFT n'exigeait plus de brûlage légitime sur la chaîne source pour autoriser une frappe sur la chaîne de destination. L'attaquant est essentiellement devenu le seul vérificateur des messages de pont entrants, gagnant la capacité d'approuver des messages frauduleux sans l'autorisation normalement requise par le pont.
Le post-mortem de The Sandbox a souligné qu'aucune clé privée n'a été compromise et qu'aucun accès non autorisé aux portefeuilles n'a eu lieu. La vulnérabilité provenait entièrement de défauts de conception dans la structure du contrat opérationnel lui-même. Cette distinction compte car cela signifie que la faille n'était pas un cas de vol d'identifiants ou d'ingénierie sociale. C'était un problème de configuration intégré à l'architecture du pont dès le déploiement.
L'attaquant a frappé 329,24 billions de SAND à travers 703 événements distincts sur environ cinq heures les 21 et 22 août. La frappe a eu lieu d'abord sur Base, avec une exposition secondaire sur BNB Smart Chain. Ethereum et Polygon, où réside la grande majorité de l'offre légitime de SAND, n'ont jamais été affectés.
L'illusion de 49 milliards de dollars contre la réalité de 675 000 dollars
Le chiffre le plus trompeur de tout l'incident était la valeur nominale de 49 milliards de dollars que Blockaid a attribuée aux jetons frappés. Ce chiffre provenait de la multiplication du nombre de jetons frappés par le prix du marché de SAND à l'époque, un calcul qui ignorait toutes les contraintes pratiques liées à la vente effective de ces jetons.
La réalité était bien plus réduite. L'attaquant a drainé environ 14,75 millions de SAND de l'adaptateur OFT d'Ethereum en moins de 60 secondes. Cette extraction a généré environ 80 ETH, d'une valeur d'environ 675 000 dollars au moment des transactions. L'attaquant a vendu les jetons en 26 transactions distinctes, chacune dimensionnée pour extraire environ 90 % de l'éther disponible du pool de liquidités avant qu'il ne puisse se rétablir.
Un détail du rapport post-mortem d'EGamers a retenu l'attention : l'attaquant a frappé exactement 14 743 364,21 SAND, soit précisément 100 jetons de moins que les avoirs du coffre à ce moment-là. Cette précision suggérait une reconnaissance minutieuse du solde du coffre avant l'exécution. Cependant, un bot d'arbitrage imprévu a perturbé le plan, laissant l'attaquant avec 14 095 483,66 SAND au lieu du montant prévu.
Les milliards de jetons supplémentaires frappés sur Base étaient essentiellement sans valeur. Ils ne pouvaient pas être échangés via le pont officiel car The Sandbox a désactivé le pontage avant qu'un échange significatif ne puisse avoir lieu. Ils ne pouvaient pas être vendus sur les échanges décentralisés car les pools de liquidités sur Base ne détenaient pas suffisamment d'actifs appariés pour absorber ne serait-ce qu'une infime fraction de l'offre. Les jetons existaient sur la chaîne mais n'avaient aucun moyen d'extraire de la valeur.
Cette dynamique est importante pour comprendre plus largement les exploits de ponts. Le titre « total des jetons frappés » surestime considérablement les dégâts réels. La contrainte est toujours la liquidité, pas le nombre à l'écran. Un attaquant peut imprimer n'importe quel nombre de jetons sur une chaîne de destination, mais les jetons ne valent que ce que quelqu'un est prêt à payer pour eux, et dans un scénario d'exploit de pont, la liquidité disponible s'évapore presque instantanément.
La réponse de The Sandbox et la fermeture du pont
L'équipe de The Sandbox a réagi relativement rapidement une fois l'exploit identifié. Des heures après l'alerte initiale de PeckShield, l'équipe a désactivé tout pontage vers et depuis Base et BNB Smart Chain. La fermeture a été exécutée au niveau du contrat sur les deux chaînes, et l'équipe a supprimé les paramètres de pair LayerZero via la gouvernance multisig pour empêcher tout autre message inter-chaînes d'être traité.
Le projet a publié une déclaration confirmant que les jetons SAND sur Ethereum et Polygon n'étaient pas affectés. Aucun portefeuille d'utilisateur n'a été compromis. Le SAND verrouillé sur Ethereum, qui soutient tout SAND légitimement ponté, est resté entièrement intact tout au long de l'incident. L'équipe a estimé l'impact à moins de 0,01 % de l'offre totale de jetons SAND par rapport à l'offre maximale de 3 milliards.
Les bourses coréennes Upbit et Bithumb ont suspendu les dépôts et retraits de SAND le 22 août, invoquant un incident de sécurité suspecté et la loi sud-coréenne sur la protection des actifs virtuels des utilisateurs. Upbit est allé plus loin et a gelé les transferts de SAND sur Ethereum, la chaîne que The Sandbox a déclarée non affectée, suggérant que la bourse adoptait une approche prudente indépendamment des assurances du projet. Coinbase a séparément retiré les contrats perpétuels de SAND.
Le prix de SAND a connu une chute intraday de près de 10 % après la divulgation de l'incident, mais a récupéré la majeure partie de la perte en 24 heures, se négociant en baisse de seulement 0,8 % sur la journée complète. L'impact modéré sur le prix reflétait la compréhension relativement rapide du marché que les dommages financiers réels étaient faibles et que le nombre gonflé de jetons ne pouvait pas être converti en valeur réelle.
La sécurité des ponts reste le maillon le plus faible
L'exploit de The Sandbox ne s'est pas produit de manière isolée. C'était la troisième défaillance majeure de pont liée à LayerZero en cinq mois, après l'attaque de Kelp DAO de 292 millions de dollars en avril et la violation de Stake DAO en mai. Chaque exploit ciblait différents aspects de l'architecture de LayerZero, mais tous les trois partageaient un point commun : une redondance de vérification insuffisante.
L'attaque de Kelp DAO a été la plus dévastatrice. Le 18 avril 2026, des attaquants liés au groupe Lazarus de la Corée du Nord ont drainé 116 500 rsETH, d'une valeur d'environ 292 millions de dollars, depuis le pont propulsé par LayerZero de KelpDAO. L'attaque a commencé six semaines plus tôt lorsqu'un attaquant a fait l'objet d'une ingénierie sociale sur un développeur de LayerZero Labs, récoltant des clés de session et s'infiltrant dans l'environnement RPC interne de LayerZero. Les attaquants ont ensuite empoisonné les nœuds RPC internes et lancé une attaque DDoS contre les fournisseurs externes, fournissant de fausses données à un seul vérificateur qui était le seul point de contrôle entre l'attaquant et 292 millions de dollars.
Le piratage de KelpDAO a effacé 13 milliards de dollars de la DeFi en 48 heures alors que les utilisateurs se précipitaient pour quitter les protocoles qu'ils percevaient comme vulnérables. Curve Finance a suspendu l'infrastructure LayerZero par précaution après l'attaque, affectant le pontage de CRV sur plusieurs chaînes.
Le réseau de vérificateurs décentralisés de LayerZero permet aux applications de sélectionner aussi peu qu'un vérificateur pour valider les messages inter-chaînes. Chainlink CCIP, en revanche, exige un minimum de 16 opérateurs de nœuds indépendants par voie, plus un réseau de gestion des risques distinct. Cette différence architecturale explique pourquoi la réponse de l'industrie à ces exploits a été une migration massive loin de LayerZero.
En août 2026, les migrations annoncées publiquement de LayerZero vers Chainlink CCIP totalisaient environ 15 milliards de dollars de valeur sécurisée. BitGo a mené la vague en déplaçant 7,4 milliards de dollars en WBTC. Mantle a déplacé son Super Portal de 2,5 milliards de dollars. Lombard a transféré plus d'un milliard de dollars d'actifs adossés au bitcoin. Solv Protocol a déplacé 700 millions de dollars de réserves de bitcoin tokenisées. Kraken a remplacé LayerZero par Chainlink CCIP pour son actif enveloppé kBTC. Même la Commission des stablecoins du Wyoming a sélectionné Chainlink CCIP pour son Frontier Stable Token.
Le jeton ZRO de LayerZero est tombé à environ 302 millions de dollars de capitalisation boursière, contre un sommet historique proche de 7,47 dollars. Nethermind, ancien opérateur de vérificateur LayerZero, est parti pour rejoindre Chainlink en tant qu'opérateur de nœud.
Le plan de remboursement
The Sandbox a annoncé le 27 août qu'il rembourserait les détenteurs de SAND affectés à un ratio de 1:1 à partir de son trésor. La perte totale s'élevait à 14,7 millions de jetons SAND, d'une valeur d'environ 700 000 dollars. Aucun nouveau jeton ne serait émis pour la compensation, ce qui signifie que le remboursement n'augmenterait pas l'offre en circulation ou maximale de SAND.
Les utilisateurs éligibles étaient ceux qui détenaient légitimement du SAND ponté sur Base ou BNB Smart Chain avant l'attaque du 21 août. Le projet prévoyait un système de compensation basé sur des instantanés utilisant les soldes pré-attaque. Les deux plus grandes bourses centralisées détenant plus de 72 % des soldes affectés ont accepté de distribuer des jetons de remplacement directement à leurs clients sans exiger de réclamations individuelles. Les autres détenteurs devraient soumettre des réclamations via un portail dédié qui devrait ouvrir dans les deux semaines suivant le rapport post-mortem.
L'approche financée par le trésor était une résolution relativement propre. Contrairement à certaines réponses aux exploits qui impliquent des émissions de jetons d'urgence, des votes de gouvernance sur l'inflation ou des processus de récupération prolongés, The Sandbox disposait de réserves suffisantes pour absorber directement la perte. Le coût de 700 000 dollars, bien que non négligeable, était gérable pour un projet avec un trésor de cette taille.
L'histoire des exploits de ponts en chiffres
Les ponts inter-chaînes ont constamment été la catégorie de contrats intelligents la plus attaquée depuis l'émergence de la technologie. Les dégâts cumulés racontent une histoire édifiante sur les risques structurels liés au déplacement d'actifs entre blockchains.
Les ponts ont fuité plus de 4 milliards de dollars aux pirates depuis 2021, selon des données compilées à partir de Chainalysis, DeFiLlama et des chercheurs en sécurité indépendants. La liste des désastres individuels comprend l'exploit de Ronin de 624 millions de dollars en mars 2022, le vol de Wormhole de 326 millions de dollars en février 2022, le piratage de Nomad de 190 millions de dollars en août 2022 et la violation de Kelp DAO de 292 millions de dollars en avril 2026.
En 2024, les ponts et les protocoles de messagerie inter-chaînes ont représenté 1,19 milliard de dollars de pertes totales en crypto, bien qu'ils représentent moins de 5 % des protocoles surveillés en nombre. Ce chiffre disproportionné reflète le risque concentré que portent les ponts : ils détiennent ou contrôlent de grands pools d'actifs à travers les chaînes, et une petite faille peut drainer une fortune en quelques minutes.
L'année 2025 a été pire. Plus de 3 milliards de dollars ont été volés lors de 119 piratages au cours du seul premier semestre, soit une augmentation de 50 % par rapport à toutes les pertes de 2024. Plus de 1,5 milliard de dollars de ce total ont transité par des ponts inter-chaînes. Le compromis de Bybit de 1,5 milliard de dollars a contribué à une grande partie du total annuel.
En 2026, les exploits de ponts ont déjà représenté 329 millions de dollars provenant de huit attaques distinctes jusqu'en août. Avril 2026 a été identifié comme le pire mois de l'histoire de la DeFi en termes de nombre d'attaques, avec plus de 30 incidents distincts rapportant aux attaquants près de 635 millions de dollars au total. Au deuxième trimestre 2026, 99 exploits ont drainé 746 millions de dollars, avec des pertes cumulées de la DeFi pour l'année dépassant 840 millions de dollars à la fin mai.
Le schéma est clair : malgré des années d'audits, de primes aux bugs et d'améliorations architecturales, les ponts restent le ventre mou de l'infrastructure inter-chaînes. Chaque année apporte de nouveaux vecteurs d'attaque et de nouveaux titres, mais la vulnérabilité fondamentale persiste car les ponts doivent détenir des pools de valeur concentrés et s'appuyer sur des mécanismes de vérification qui peuvent être compromis.
Le problème de l'architecture OFT
L'exploit de The Sandbox a soulevé des questions inconfortables sur la norme même des jetons fongibles omnichaînes. Les OFT sont conçus pour permettre aux jetons de se déplacer librement à travers plusieurs blockchains en brûlant sur une chaîne et en frappant sur une autre, avec un pool verrouillé sur la chaîne d'origine servant de support ultime. L'architecture est élégante en théorie, mais chaque chaîne de destination introduit une nouvelle surface d'attaque.
Dans le cas de The Sandbox, le contrat SAND sur Base héritait de la fonction `approveAndCall` des implémentations ERC-20 antérieures. Cette fonction a été conçue pour une époque différente des normes de jetons, une époque où les jetons vivaient sur une seule chaîne et où les permissions de délégation avaient moins de poids. Combinée au cadre OFT de LayerZero, la fonction est devenue un vecteur de détournement de l'autorité de frappe inter-chaînes. L'interaction entre les fonctions de jetons héritées et la messagerie inter-chaînes moderne a créé une vulnérabilité que ni l'un ni l'autre système n'aurait eue isolément.
Le problème s'étend au-delà de The Sandbox. Tout déploiement OFT qui inclut `approveAndCall` ou des fonctions de rappel similaires sur les chaînes de destination pourrait être vulnérable à la même classe d'attaque. Le post-mortem de The Sandbox n'a pas divulgué combien d'autres déploiements OFT partagent ce modèle, mais les chercheurs en sécurité ont noté que la fonction est courante dans les anciens contrats de jetons qui ont ensuite été enveloppés dans des adaptateurs OFT.
La leçon plus large est que les normes de jetons inter-chaînes doivent tenir compte de la surface complète des contrats de jetons sous-jacents qu'elles enveloppent. Un audit qui n'examine que la logique du pont sans scruter les fonctions héritées sur le jeton lui-même peut manquer exactement le type de faille qui a permis l'exploit SAND. Les projets qui ont déployé des ponts OFT sur des contrats de jetons existants sont confrontés à un risque particulier car les contrats d'origine ont été conçus sans tenir compte de l'autorité de frappe inter-chaînes.
Cette préoccupation architecturale est distincte de la discussion sur le vérificateur LayerZero. Même avec plusieurs vérificateurs, un détournement de délégué via `approveAndCall` pourrait contourner entièrement la couche de vérification car l'attaquant détiendrait déjà les clés de la fonction de frappe. Le correctif nécessite des modifications au niveau du contrat de jeton, pas seulement au niveau du protocole de messagerie.
Leçons de la frappe fantôme
L'incident de The Sandbox a cristallisé plusieurs leçons qui s'appliquent bien au-delà d'un jeton de jeu unique.
Premièrement, les calculs à valeur nominale sont trompeurs et potentiellement dangereux pour les acteurs du marché. Lorsque Blockaid a signalé 49 milliards de dollars de jetons frappés, ce chiffre a circulé dans les gros titres et les réseaux sociaux sans contexte. Les traders qui ont vendu du SAND sur la base d'un chiffre de 49 milliards de dollars réagissaient à un chiffre fantôme. L'extraction réelle était de 675 000 dollars. L'écart entre ces deux chiffres est la différence entre un échec catastrophique et un incident gérable. Les médias qui ont rapporté le chiffre de 49 milliards de dollars sans le qualifier de montant notionnel ont contribué à des ventes de panique inutiles et ont faussé la réaction initiale du marché à l'incident.
Deuxièmement, la vulnérabilité approveAndCall était un défaut de configuration, et non une exploitation zero-day inédite. La fonction existait dans le contrat déployé depuis le début. La structure des permissions déléguées faisait partie de l'architecture standard OFT. L'attaquant n'avait pas besoin de découvrir une faiblesse cryptographique inconnue auparavant ni de briser un quelconque chiffrement. Il devait comprendre comment les pièces s'assemblaient et trouver le point où une charge utile conçue pouvait détourner les permissions existantes. Ce type de risque de composabilité, où deux systèmes individuellement sûrs deviennent dangereux lorsqu'ils sont combinés, est l'une des catégories de vulnérabilité les plus difficiles à détecter lors des audits de sécurité standard.
Troisièmement, le schéma du portefeuille dormant mérite d'être surveillé. L'adresse de l'attaquant était inactive depuis 313 jours avant l'exploitation. Ce genre de patience opérationnelle suggère soit un acteur sophistiqué qui a préparé l'exploitation bien à l'avance, soit quelqu'un qui a acquis l'accès à un portefeuille préalablement financé spécifiquement à cette fin. Dans les deux cas, la longue période d'inactivité signifiait que l'adresse n'aurait pas déclenché de surveillance basée sur l'activité avant qu'il ne soit trop tard. Les systèmes de surveillance en chaîne qui s'appuient sur des modèles d'activité récents auraient classé le portefeuille comme inactif et l'auraient dépriorisé des systèmes d'alerte.
Quatrièmement, l'interférence du bot d'arbitrage a mis en évidence une dynamique sous-estimée dans les exploits DeFi. L'attaquant a planifié son extraction avec précision, frappant exactement 100 jetons en dessous des avoirs du coffre. Un bot de trading automatisé a perturbé ce plan, réduisant la prise de l'attaquant d'environ 650 000 SAND. L'interaction entre l'exécution de l'exploit et l'activité automatisée du marché est un facteur croissant dans la façon dont ces incidents se déroulent. Dans certains cas, les bots peuvent accélérer un exploit en devançant les échanges de l'attaquant. Dans ce cas, le bot a accidentellement servi de mécanisme de défense involontaire en consommant la liquidité dont l'attaquant avait besoin.
Cinquièmement, la rapidité de l'extraction réelle mérite attention. L'attaquant a drainé 14,75 millions de SAND de l'adaptateur OFT Ethereum en moins de 60 secondes. La frénésie de frappe de cinq heures sur Base était essentiellement du bruit. Les dégâts réels se sont produits en une seule minute sur Ethereum. Cette chronologie souligne pourquoi les systèmes de surveillance des ponts doivent se concentrer sur la vélocité de drainage du coffre plutôt que sur le volume de frappe sur la chaîne de destination. Un système qui aurait alerté sur une activité de frappe inhabituelle sur Base aurait déclenché des heures avant le vol réel, mais le vol lui-même était terminé avant qu'aucun humain n'ait pu intervenir.
Ce qu'il faut surveiller
Divulgations de l'audit du pont : Que The Sandbox publie un post-mortem technique complet avec des détails au niveau du contrat, ou limite la divulgation à des résumés de haut niveau, cela signalera à quel point le projet a l'intention d'être transparent sur la cause racine
Modifications de configuration de LayerZero : LayerZero a déclaré qu'il cessera de signer des messages pour les applications utilisant des configurations à DVN unique ; surveillez si les intégrateurs existants mettent à niveau ou migrent vers des alternatives
Lancement du portail de remboursement : Le portail de réclamation pour les détenteurs non-échange est attendu dans les deux semaines suivant le post-mortem du 27 août ; des retards ou des complications pourraient éroder la confiance des détenteurs
Réinscription sur les bourses coréennes : Upbit et Bithumb ont suspendu les échanges de SAND ; leur calendrier pour rétablir les dépôts et retraits indiquera comment les régulateurs perçoivent la gravité de l'incident
Rythme de migration CCIP : La migration de 15 milliards de dollars de LayerZero vers Chainlink CCIP s'accélère ; de nouveaux incidents de pont pourraient porter le volume total de migration à plus de 20 milliards de dollars d'ici la fin de l'année
Combien de jetons SAND ont réellement été frappés lors de l'exploit ?
L'attaquant a frappé 329,24 billions de jetons SAND non adossés lors de 703 événements distincts sur environ cinq heures les 21 et 22 août 2026. La société de sécurité PeckShield a initialement signalé environ 14,9 milliards de SAND créés sur deux adresses de portefeuille, tandis que Blockaid a estimé la valeur nominale à près de 49 milliards de dollars sur plus de 400 transactions.
Combien d'argent a réellement été volé à The Sandbox ?
L'extraction financière réelle était d'environ 14,75 millions de SAND drainés de l'adaptateur OFT Ethereum en moins de 60 secondes. L'attaquant a converti ces jetons en environ 80 ETH, d'une valeur d'environ 675 000 dollars à l'époque. Le rapport post-mortem d'EGamers a estimé les dommages économiques totaux à environ 1,5 million de dollars, en incluant l'impact plus large sur le marché et les pertes de glissement dans les pools de liquidité affectés.
Quelle était la vulnérabilité approveAndCall ?
La fonction `approveAndCall` du contrat de jeton fongible omnichain SAND de The Sandbox sur Base a permis à l'attaquant d'acheminer une charge utile conçue pour détourner les permissions de délégué de LayerZero. Une fois que l'attaquant contrôlait le délégué, il pouvait autoriser la frappe sur la chaîne de destination sans brûlure ou dépôt correspondant sur la chaîne source. Aucune clé privée n'a été compromise ; la vulnérabilité était un défaut de conception dans la structure du contrat.
The Sandbox remboursera-t-il les détenteurs affectés ?
Oui. The Sandbox a annoncé un plan de remboursement de 1:1 financé par son trésor. Aucun nouveau jeton SAND ne sera frappé. Les deux plus grandes bourses détenant plus de 72 pour cent des soldes affectés distribueront directement des jetons de remplacement aux clients. Les autres détenteurs doivent soumettre des réclamations via un portail prévu dans les deux semaines suivant le post-mortem du 27 août.
Les jetons SAND sur Ethereum et Polygon ont-ils été affectés ?
Non. L'exploit a ciblé uniquement les contrats de pont sur Base et BNB Smart Chain. Les SAND sur Ethereum et Polygon n'ont pas été affectés. Les SAND verrouillés sur Ethereum qui soutiennent tous les SAND légitimement pontés sont restés entièrement sécurisés tout au long de l'incident. Aucun portefeuille utilisateur sur aucune chaîne n'a été compromis.
Pourquoi les bourses coréennes ont-elles suspendu les échanges de SAND ?
Upbit et Bithumb ont suspendu les dépôts et retraits de SAND le 22 août en vertu de la loi sud-coréenne sur la protection des utilisateurs d'actifs virtuels après avoir détecté une activité anormale sur la chaîne. Upbit a gelé les transferts de SAND sur Ethereum malgré la confirmation de The Sandbox que cette chaîne n'était pas affectée, ce qui suggère que la bourse a adopté une approche prudente. Coinbase a également retiré les contrats à terme perpétuels SAND.
Quel est le lien entre cet exploit et le piratage de Kelp DAO ?
Les deux exploits ont ciblé l'infrastructure de pont propulsée par LayerZero. Le piratage de Kelp DAO en avril 2026 a drainé 292 millions de dollars via une configuration de vérificateur unique compromise. L'exploit de The Sandbox en août a utilisé un vecteur d'attaque différent (détournement de la fonction approveAndCall) mais a exploité une faiblesse similaire : une redondance de vérification insuffisante dans l'architecture de LayerZero. Avec la violation de Stake DAO en mai, ces trois incidents ont accéléré une migration de 15 milliards de dollars de LayerZero vers Chainlink CCIP.
En quoi les frappes de jetons fantômes diffèrent-elles du vol réel dans les exploits de pont ?
Une frappe fantôme crée des jetons sur une chaîne de destination sans dépôt ou brûlure correspondant sur la chaîne source. Bien que la valeur nominale puisse atteindre des nombres astronomiques, les jetons ne valent que ce que la liquidité disponible permet de les vendre. Dans le cas de The Sandbox, 329 billions de jetons ont été frappés avec une valeur notionnelle de 49 milliards de dollars, mais l'attaquant n'a pu extraire que 675 000 dollars car c'était l'étendue de la liquidité accessible. La distinction entre la valeur nominale frappée et la valeur extractible est cruciale pour évaluer avec précision la gravité des exploits de pont.
