The Sandbox-eksploit forklaret: 49 mia. dollar i nye SAND-tokens – men ikke 49 mia. dollar stjålet

Hvorfor nævnte rapporterne 49 mia. dollar?

Blockaid registrerede omkring 49 mia. dollar i SAND målt til nominel værdi, skabt gennem mere end 400 transaktioner. “Nominel værdi” betyder her, at mængden af nyudstedte tokens ganges med den aktuelle markedspris. Det fortæller ikke, at alle tokens kunne sælges til den pris.

En token kan godt have en høj noteret værdi uden at have nok likviditet til, at store mængder kan sælges uden et kraftigt prisfald. Da exploit’et blev opdaget, begrænsede lukning af broerne, handelsrestriktioner, opsplittet likviditet og svækket markeds tillid desuden det beløb, der potentielt kunne realiseres.

Andre on-chain-rapporter pegede på omkring 14,9 mia. SAND på adresser kontrolleret af angriberne, mens en separat opgørelse vurderede, at det beløb, der faktisk blev trukket ud, var langt mindre end tallet for den samlede udstedelse. Tallene måler forskellige ting – nyudstedte tokens, beholdninger på bestemte adresser samt realiserede eller potentielt realiserbare gevinster – og kan derfor ikke bruges som enslydende tabstal.

De tilgængelige oplysninger fastslår ikke ét endeligt, uafhængigt verificeret beløb for de faktisk hævede midler. Den mest forsigtige konklusion er derfor, at den uautoriserede udstedelse var enorm målt i nominelle tal, mens det økonomiske tab var betydeligt mindre end 49 mia. dollar.

Hvorfor var The Sandbox og sikkerhedsfirmaerne uenige om omfanget?

The Sandbox beskrev den direkte påvirkning som under 0,01 procent af SANDs samlede udbud på 3 mia. tokens. Sikkerhedsfirmaer og on-chain-analytikere fremhævede i stedet mængden af uautoriserede tokens, der blev skabt, eller som befandt sig på adresser forbundet med angriberne.

Udmeldingerne behøver ikke være direkte modstridende, fordi de måler forskellige resultater:

• The Sandbox’ vurdering beskriver projektets opfattelse af den direkte eller realiserbare påvirkning.
• Blockaids vurdering beskriver den nominelle værdi af de ubakkede tokens, der blev skabt under angrebet.
• On-chain-beholdninger viser tokens, der blev observeret på adresser, som blev knyttet til angriberen.
• Realiserede tab kræver viden om, hvor mange tokens der blev solgt, byttet eller brugt til at hæve andre aktiver.

Indtil The Sandbox offentliggør sin efterfølgende rapport og en mere fuldstændig opgørelse, bør tallene derfor præsenteres som forskellige målinger af hændelsen – ikke som én samlet og afstemt skadesopgørelse.

Hvordan stoppede The Sandbox angrebet?

The Sandbox oplyste, at sårbarheden blev rettet og inddæmmet. Projektet blokerede overførsler gennem de berørte cross-chain-broer og deaktiverede broforbindelser, der involverede Base og BNB Smart Chain. Ethereum- og Polygon-versionerne af SAND skulle fortsat være upåvirkede.

Projektet oplyste også, at det ville tage et øjebliksbillede af de berørte likviditetspositioner, kontakte kvalificerede likviditetsudbydere og offentliggøre en detaljeret efterfølgende rapport. På det tidspunkt, som de tilgængelige oplysninger dækker, var de endelige regler for kompensation, kriterierne for at være berettiget og udbetalingernes størrelse endnu ikke offentliggjort.

Brugere bør derfor skelne mellem de øjeblikkelige inddæmningsforanstaltninger og en eventuel senere plan for genopretning eller kompensation. En lukket bro forhindrer yderligere brug af den rapporterede angrebsvej, men løser ikke i sig selv problemet med tokens, der allerede er blevet skabt, eller tab hos likviditetsudbydere.

Hvordan reagerede kryptobørserne?

Hændelsen udløste forsigtighedstiltag hos sydkoreanske kryptobørser. Bithumb suspenderede ind- og udbetalinger af SAND, mens Upbit udsendte en handelsadvarsel på grund af unormal aktivitet på blockchainen og risiko for øget volatilitet.

Nogle on-chain- og markedsrapporter beskrev SANDs pris som forholdsvis modstandsdygtig under hændelsen i stedet for at falde sammen. Det beviser dog ikke, at exploit’et var økonomisk ufarligt. Handelsbegrænsninger og tynd eller isoleret likviditet kan forsinke den reelle prisdannelse, mens den langsigtede effekt afhænger af, hvordan de uautoriserede tokens og de berørte likviditetspuljer håndteres.

Var det det samme som KelpDAO-angrebet på LayerZero?

SAND-hændelsen og KelpDAO-exploit’et den 18. april 2026 involverede begge applikationer, der byggede på LayerZero-baseret cross-chain-infrastruktur, men de rapporterede fejlmekanismer var forskellige.

I KelpDAO-sagen blev infrastruktur, der blev brugt af et LayerZero Decentralized Verifier Network (DVN), kompromitteret, og angriberne udnyttede en konfiguration med kun én verifikator. En forfalsket cross-chain-meddelelse fik broen til at frigive 116.500 rsETH, som på tidspunktet havde en værdi på omkring 292 mio. dollar. LayerZero beskrev hændelsen som isoleret til KelpDAOs rsETH-konfiguration.

SAND-hændelsen drejede sig derimod om delegerede kontraktrettigheder og misbruget af approveAndCall, som muliggjorde uautoriseret udstedelse af tokens. Forskellen er vigtig: De to hændelser viser forskellige risici i cross-chain-løsninger – verifikationsinfrastruktur på den ene side og kontraktautorisation eller rettighedsdesign på den anden. De tilgængelige oplysninger viser ikke, at den samme LayerZero-protokolfejl forårsagede begge angreb.

Den vigtigste lektie for brugere og udviklere

Den afgørende forskel er mellem tokens, der blev skabt, tokens, der blev holdt, og værdi, der faktisk blev trukket ud. En bro kan fejle på en måde, der skaber en enorm nominel beholdning uden at give angriberen et tilsvarende beløb i omsættelige gevinster. Omvendt kan en mindre udstedelse stadig skade likviditetsudbydere og markeds tillid, hvis den frigiver eller udtømmer værdifulde aktiver.

For brugere er de praktiske spørgsmål, hvilket netværk og hvilken kontrakt der var berørt, om ind- og udbetalinger fortsat er sat på pause, og om projektet har offentliggjort regler for berettigelse og genopretning. For udviklere understreger hændelsen behovet for at gennemgå alle delegerede rettigheder, privilegerede udstedelsesfunktioner og grænserne for cross-chain-autorisation – ikke kun selve laget, der verificerer meddelelser.