Exploit du bridge SAND de The Sandbox : que signifie vraiment le chiffre de 49 milliards de dollars ?

Le 22 août 2026, The Sandbox a contenu une vulnérabilité de son bridge cross-chain SAND sur Base et BNB Smart Chain. Des attaquants ont exploité des permissions de délégué compromises liées à LayerZero afin de frapper des SAND sans garantie. L’incident a rapidement fait émerger un chiffre spectaculaire — près de 49 milliards de dollars en valeur faciale — qu’il ne faut toutefois pas confondre avec le montant réellement volé ou encaissé.

Que s’est-il passé dans l’exploit du bridge SAND ?

Le système touché était le déploiement du SAND Omnichain Fungible Token de The Sandbox, construit avec l’infrastructure LayerZero sur Base et BNB Smart Chain. D’après Blockaid, les attaquants ont utilisé la fonction approveAndCall pour détourner des permissions de délégué associées au bridge. Cette autorité leur a ensuite permis de procéder à des émissions répétées et non autorisées de la représentation cross-chain du SAND.

Il s’agit donc d’abord d’un problème d’émission de tokens, et non d’un piratage signalé des portefeuilles individuels des utilisateurs. L’exploit était limité aux déploiements sur Base et BNB Smart Chain ; The Sandbox a indiqué que les SAND présents sur Ethereum et Polygon n’étaient pas concernés.

Pourquoi le chiffre de 49 milliards de dollars est-il apparu ?

Blockaid a estimé qu’environ 49 milliards de dollars en valeur faciale de SAND avaient été frappés au cours de plus de 400 transactions. La « valeur faciale » consiste à appliquer le cours de marché à la quantité de tokens créée. Elle ne signifie pas que l’attaquant pouvait vendre l’intégralité de ces tokens à ce prix.

Un token fraîchement créé peut afficher une valeur théorique très élevée sans disposer de la liquidité nécessaire pour permettre des ventes importantes. Après la détection de l’exploit, l’arrêt des bridges, les restrictions imposées par certaines plateformes, la fragmentation de la liquidité et la perte de confiance ont encore réduit le montant susceptible d’être effectivement réalisé.

D’autres données on-chain ont fait état d’environ 14,9 milliards de SAND sur des adresses contrôlées par les attaquants, tandis qu’un autre rapport estimait que les fonds effectivement extraits étaient très inférieurs au chiffre annoncé pour les émissions. Ces mesures ne décrivent pas la même réalité : elles concernent respectivement l’offre créée, les soldes détenus dans certains portefeuilles et les recettes réalisées — ou potentiellement réalisables. Elles ne doivent donc pas être assimilées à une seule estimation des pertes.

Les éléments disponibles ne permettent pas d’établir un montant final d’extraction qui soit à la fois unique et vérifié indépendamment. La conclusion la plus prudente est la suivante : l’émission non autorisée a été gigantesque en valeur nominale, mais la perte économique réelle est nettement inférieure à 49 milliards de dollars.

Pourquoi The Sandbox et les sociétés de sécurité ne donnent-elles pas le même bilan ?

The Sandbox a évalué l’impact direct à moins de 0,01 % de l’offre totale de 3 milliards de SAND. Les entreprises de sécurité et les analystes spécialisés dans les données de blockchain ont, eux, mis en avant le volume de tokens créés sans garantie ou détenus par des adresses associées aux attaquants.

Ces chiffres ne mesurent pas nécessairement le même résultat :

• L’estimation de The Sandbox renvoie à l’impact direct ou effectivement réalisable selon le projet.
• L’estimation de Blockaid correspond à la valeur faciale des tokens sans garantie créés pendant l’attaque.
• Les estimations de soldes on-chain recensent les tokens observés sur des adresses liées à l’attaquant.
• Une estimation des pertes réalisées nécessiterait de déterminer combien de tokens ont été vendus, échangés ou utilisés pour retirer d’autres actifs.

Tant que The Sandbox n’aura pas publié son rapport d’incident et une comptabilité plus complète, ces données doivent être présentées comme des mesures différentes de l’événement, et non comme un bilan de pertes déjà réconcilié.

Quelles mesures The Sandbox a-t-il prises ?

The Sandbox a déclaré avoir corrigé et contenu la vulnérabilité, bloqué les transferts via les bridges concernés et désactivé les opérations de bridging impliquant Base et BNB Smart Chain. Le projet a également indiqué que les SAND sur Ethereum et Polygon restaient hors de portée de l’incident.

L’équipe a par ailleurs annoncé un instantané des positions de liquidité touchées, une prise en charge des fournisseurs de liquidité éligibles et la publication d’un rapport technique détaillé. Au moment couvert par les informations disponibles, les règles définitives d’indemnisation, les critères d’éligibilité et les montants versés n’avaient toutefois pas encore été rendus publics.

Il faut donc distinguer les mesures de confinement immédiates d’un éventuel plan ultérieur de récupération ou de compensation. La suspension du bridge empêche la poursuite de l’exploitation signalée, mais elle ne règle pas à elle seule la question de la valeur des tokens déjà créés ni les pertes subies par les fournisseurs de liquidité.

Comment les plateformes d’échange ont-elles réagi ?

L’incident a entraîné des mesures de précaution de la part de plateformes sud-coréennes. Bithumb a suspendu les dépôts et les retraits de SAND, tandis qu’Upbit a publié un avertissement invitant les investisseurs à la prudence face à une activité on-chain inhabituelle et à un risque accru de volatilité.

Certains comptes rendus ont décrit un cours du SAND relativement résilient pendant l’incident, plutôt qu’un effondrement immédiat. Cette réaction de marché ne prouve pas que l’exploit était sans conséquence économique : les restrictions sur les plateformes et une liquidité faible ou isolée peuvent retarder la découverte du prix. L’effet à plus long terme dépendra notamment du traitement des tokens non autorisés et des pools concernés.

Est-ce le même problème que l’exploit de KelpDAO lié à LayerZero ?

L’incident SAND et l’exploit subi par KelpDAO le 18 avril 2026 ont tous deux impliqué des applications reposant sur une infrastructure cross-chain liée à LayerZero, mais les modes de défaillance rapportés sont différents.

Dans le cas de KelpDAO, les attaquants avaient compromis l’infrastructure utilisée par un réseau de vérification décentralisé de LayerZero — ou DVN — et exploité une configuration reposant sur un seul vérificateur. Un message cross-chain falsifié a alors conduit le bridge à libérer 116 500 rsETH, évalués à environ 292 millions de dollars à l’époque. LayerZero a présenté l’incident comme limité à la configuration rsETH de KelpDAO.

L’événement concernant SAND s’est, lui, concentré sur des permissions de contrats déléguées et sur l’utilisation abusive de approveAndCall pour autoriser la création de tokens. La distinction est importante : ces deux attaques illustrent des risques différents des déploiements cross-chain — l’infrastructure de vérification dans un cas, l’autorisation contractuelle et la gestion des permissions dans l’autre. Les éléments disponibles ne montrent pas qu’un même bug du protocole LayerZero soit à l’origine des deux incidents.

La leçon essentielle pour les utilisateurs et les développeurs

La distinction la plus importante oppose les tokens créés, les tokens détenus et la valeur réellement extraite. Un bridge peut être exploité de manière à générer une offre théorique colossale sans produire un montant équivalent de liquidités immédiatement utilisables par l’attaquant. À l’inverse, une émission d’apparence plus limitée peut tout de même fragiliser les fournisseurs de liquidité et la confiance du marché si elle libère ou siphonne des actifs précieux.

Pour les utilisateurs, les questions prioritaires sont de savoir quelle chaîne et quel contrat sont concernés, si les dépôts et retraits sont toujours suspendus et si le projet a publié des règles de récupération ou d’éligibilité. Pour les développeurs, l’incident rappelle qu’il faut examiner chaque permission déléguée, chaque mécanisme de création privilégiée et chaque frontière d’autorisation cross-chain — pas uniquement la couche de vérification des messages.