Quasi 15 miliardi di token SAND creati dal nulla in poche ore, eppure il prezzo dell’asset è salito. È il paradosso che accompagna l’exploit bridge Sandbox individuato la notte del 22 agosto 2026 su Base e BNB Smart Chain, dove un attaccante ha sfruttato una falla nel sistema cross-chain del token per coniare unità non garantite. The Sandbox ha dichiarato di aver “identificato e completamente contenuto” il problema, disattivando i trasferimenti da e verso entrambe le reti.
Summary
Punti chiave
- The Sandbox ha bloccato una vulnerabilità nel bridge cross-chain di SAND su Base e BNB Smart Chain, disabilitando i trasferimenti tra le due reti.
- L’attacco ha permesso di coniare SAND privi di copertura reale; Ethereum e Polygon restano non toccati e nessun wallet utente è stato compromesso.
- Le stime divergono: Blockaid parla di circa 49 miliardi di dollari in token coniati su oltre 400 transazioni, PeckShield di 14,9 miliardi di SAND su due indirizzi, mentre Sandbox indica un impatto sotto lo 0,01% della supply totale.
- Upbit e Bithumb, in Corea del Sud, hanno congelato depositi e prelievi di SAND invocando la legge sulla tutela degli utenti crypto; Upbit ha sospeso anche Ethereum, rete che Sandbox definisce non compromessa.
- Nonostante l’incidente, SAND ha guadagnato circa il 4,6% nelle 24 ore, secondo CoinGecko.
Come Sandbox ha contenuto la vulnerabilità del bridge cross-chain
In un messaggio pubblicato alle 3:22 ET di sabato, lo studio dietro il mondo virtuale ha spiegato che l’attaccante ha coniato SAND su Base e BNB Smart Chain senza la reale copertura in token bloccati su Ethereum. Secondo Blockaid, il meccanismo ha sfruttato i permessi delegati di LayerZero tramite una funzione chiamata approveAndCall sul contratto omnichain fungible token di SAND su Base, consentendo la creazione non autorizzata di nuove unità. The Sandbox ha risposto disattivando il bridging su entrambe le reti, isolando i token coinvolti e impedendone lo spostamento o il riscatto. “Tutti i fondi SAND collegati al bridge sono garantiti dai token bloccati su Ethereum, che restano interamente al sicuro”, ha dichiarato il progetto, invitando gli utenti a non comprare, vendere o fornire liquidità in SAND su Base o BSC finché le implementazioni interessate resteranno isolate.
Le cifre non coincidono: da 49 miliardi a poco più di 14 miliardi
Le stime sull’entità reale dell’attacco al token SAND restano tra loro molto distanti. Blockaid, alle 12:14 ET, ha calcolato un valore nominale coniato di circa 49 miliardi di dollari distribuiti su oltre 400 transazioni, precisando che l’attacco era ancora in corso. Poco più di un’ora dopo, alle 1:40 ET, PeckShield ha segnalato invece 14,9 miliardi di SAND creati su due soli indirizzi, con screenshot degli explorer che mostrano rispettivamente 14,65 miliardi e 250 milioni di token accreditati dall’indirizzo zero. Entrambe le cifre superano più volte la supply circolante di SAND, pari a circa 2,94 miliardi su un massimo teorico di 3 miliardi secondo CoinGecko. The Sandbox, dal suo lato, ha fissato l’impatto reale sotto lo 0,01% della supply totale, senza però pubblicare una cifra di perdita in dollari né spiegare come sia stato calcolato quel numero. Un elemento che aiuta a comprendere la discrepanza arriva da un’analisi forense: secondo l’account BlockWatchdog, l’attaccante avrebbe prelevato circa 14,75 milioni di SAND dall’adattatore su Ethereum in meno di un minuto, generando circa 80 ETH dalle vendite, pari a circa 675.000 dollari al momento delle transazioni. I token coniati su Base o BSC, infatti, non hanno alterato la supply massima fissata su Ethereum a meno che l’attaccante non riuscisse a sfruttare il sistema cross-chain per liberare token reali bloccati nell’adattatore.
Corea del Sud in allerta: Upbit e Bithumb bloccano SAND
La reazione più immediata è arrivata dagli exchange coreani. Upbit ha sospeso depositi e prelievi di SAND sulla rete Ethereum alle 10:12 ET di venerdì, 11:12 ora coreana di sabato, citando “circostanze indicative di un incidente di sicurezza” presso The Sandbox e richiamando la Virtual Asset User Protection Act. La sospensione resterà attiva fino alla conferma della stabilità dei trasferimenti, ha precisato l’exchange, nonostante Ethereum sia la rete che Sandbox indica come non coinvolta nell’incidente. Poco dopo, alle 10:45 ET, Upbit ha emesso un avviso di cautela sul trading segnalando il rischio di forte volatilità sul prezzo di SAND. Bithumb ha sospeso depositi e prelievi dalle 11:11 ora coreana di sabato, mantenendo però attivo il trading e avvertendo di possibili oscillazioni marcate. Nessuno dei due exchange ha indicato una data per la riapertura dei trasferimenti. Sul mercato, intanto, SAND veniva scambiato a 0,0479 dollari alle 4:12 ET di sabato, in rialzo di circa il 4,6% nelle 24 ore e del 22% nella settimana, per una capitalizzazione di circa 140,8 milioni di dollari secondo CoinGecko — un andamento che, almeno per ora, non riflette la portata dell’incidente segnalata dalle società di sicurezza.
Risarcimenti e prossimi passi dopo l’exploit sul bridge di Sandbox
The Sandbox ha detto di aver realizzato uno snapshot delle posizioni precedenti all’attacco e di stare preparando un piano di compensazione per gli utenti idonei dei pool di liquidità colpiti, senza però fissare una tempistica per i pagamenti. Il progetto ha promesso un rapporto completo sull’incidente e un’analisi tecnica post-mortem, ma non ha ancora confermato la causa proposta da Blockaid relativa ai permessi delegati di LayerZero, né chiarito se la configurazione di SAND utilizzasse un singolo verificatore, come accaduto in un precedente incidente che aveva coinvolto un altro asset basato sullo stesso standard omnichain. Fino a quando Base e BNB Smart Chain non torneranno operative per i trasferimenti, resta appeso il nodo più delicato: riconciliare le stime miliardarie delle società di sicurezza con il numero, molto più contenuto, indicato dallo stesso studio dietro SAND.
FAQ
Qual è stata la natura dell’exploit sul token SAND?
Un attaccante ha sfruttato una vulnerabilità nel bridge cross-chain di The Sandbox per coniare token SAND non garantiti su Base e BNB Smart Chain.
I wallet degli utenti o i SAND su Ethereum e Polygon sono stati colpiti?
No, nessun wallet utente è stato compromesso e i token SAND su Ethereum e Polygon sono rimasti al sicuro.
Quali azioni hanno intrapreso gli exchange in risposta alla vulnerabilità?
Gli exchange sudcoreani Upbit e Bithumb hanno congelato depositi e prelievi di SAND citando la legge sulla tutela degli utenti; Upbit ha inoltre sospeso le transazioni su Ethereum.
Come sta gestendo l’incidente The Sandbox?
The Sandbox ha disabilitato il bridging sulle reti coinvolte, sta preparando un piano di compensazione per i fornitori di liquidità e ha promesso un rapporto completo sull’incidente con un’analisi tecnica post-mortem.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
