מתקפת הגישור של SAND ב-The Sandbox: מה באמת עומד מאחורי המספר של 49 מיליארד דולר

למה דיברו על 49 מיליארד דולר?

Blockaid דיווחה על הנפקה של כ־49 מיליארד דולר בשווי נקוב של SAND, ביותר מ־400 עסקאות. “שווי נקוב” הוא חישוב שמכפיל את כמות הטוקנים שנוצרו במחיר השוק שצוטט באותו זמן. הוא אינו מוכיח שניתן היה למכור את כל הכמות במחיר הזה.

טוקן חדש יכול לקבל שווי מחושב עצום גם כאשר אין בשוק מספיק נזילות כדי לתמוך במכירות משמעותיות. לאחר גילוי החולשה, השבתת הגשרים, הגבלות בבורסות, פיצול הנזילות ופגיעה באמון בשוק צמצמו עוד יותר את הסכום שהתוקפים היו עשויים לממש.

דיווחים אחרים בשרשרת הבלוקצ'יין הצביעו על כ־14.9 מיליארד SAND בכתובות בשליטת התוקפים, בעוד שדיווח נפרד העריך שהכמות שהוצאה בפועל הייתה נמוכה בהרבה מהמספר שנוצר בכותרות. אלה מדדים שונים: היצע שהונפק, יתרות בארנקים והכנסות שמומשו או שניתן היה לממש. לכן אין להתייחס אליהם כאילו הם אומדן הפסד אחד ויחיד.

על סמך המידע הזמין, עדיין אין סכום סופי ומאומת באופן בלתי תלוי לגבי הכספים שחולצו בפועל. המסקנה הזהירה ביותר היא שהיקף ההנפקה הלא מורשית היה עצום במונחים נומינליים, אך הנזק הכלכלי היה קטן משמעותית מ־49 מיליארד דולר.

מדוע The Sandbox וחברות האבטחה הציגו מספרים שונים?

The Sandbox תיארה את ההשפעה הישירה כפחות מ־0.01% מההיצע הכולל של SAND, העומד על 3 מיליארד טוקנים. מנגד, חברות אבטחה ואנליסטים של נתוני בלוקצ'יין התמקדו בכמות הטוקנים שהונפקו ללא גיבוי או שנצפו בכתובות המקושרות לתוקפים.

ההצהרות האלה אינן בהכרח סותרות — הן פשוט מודדות תוצאות שונות:

• האומדן של The Sandbox מתאר את הערכת הפרויקט לגבי ההשפעה הישירה או הניתנת למימוש.
• האומדן של Blockaid מתאר את השווי הנקוב של טוקנים ללא גיבוי שנוצרו במהלך המתקפה.
• אומדני יתרות בשרשרת מתארים את כמות הטוקנים שנצפתה בכתובות המקושרות לתוקף.
• אומדן הפסד ממומש דורש לדעת כמה טוקנים נמכרו, הומרו או שימשו למשיכת נכסים אחרים.

עד ש־The Sandbox תפרסם ניתוח שלאחר האירוע וחשבונאות מלאה יותר, יש להציג את המספרים כמדדים מתחרים של אותו אירוע — לא כסכום נזק אחד שכבר יושב ונסגר.

כיצד The Sandbox עצרה את המתקפה?

The Sandbox מסרה כי תיקנה והכילה את החולשה, חסמה העברות דרך הגשרים שנפגעו והשביתה גישור הכולל את Base ו־BNB Smart Chain. החברה הוסיפה כי SAND ב־Ethereum וב־Polygon נותר ללא פגיעה.

הפרויקט הודיע גם כי יבצע צילום מצב של פוזיציות הנזילות, יטפל בספקי נזילות זכאים ויפרסם ניתוח טכני מפורט לאחר האירוע. בזמן שאליו מתייחס המידע הזמין, לא פורסמו כללים סופיים לפיצוי, תנאי זכאות או סכומי תשלום.

חשוב להבחין בין צעדי הבלימה המיידיים לבין תוכנית התאוששות או פיצוי עתידית. השהיית פעילות הגשר מונעת שימוש נוסף בנתיב התקיפה המדווח; כשלעצמה, היא אינה פותרת את שאלת ערכם של הטוקנים שכבר הונפקו או את ההפסדים של ספקי הנזילות.

כיצד הגיבו הבורסות?

האירוע הוביל לצעדי זהירות מצד בורסות קריפטו בדרום קוריאה. Bithumb השעתה הפקדות ומשיכות של SAND, ואילו Upbit פרסמה אזהרת מסחר בעקבות פעילות חריגה בשרשרת והאפשרות לתנודתיות מוגברת.

חלק מהדיווחים תיארו את מחיר SAND כיציב יחסית במהלך האירוע, ולא כמי שקרס מיד. תגובת מחיר כזו אינה מוכיחה שהמתקפה הייתה חסרת משמעות כלכלית: מגבלות בבורסות ונזילות דלה או מבודדת עלולות לעכב את גילוי המחיר האמיתי. ההשפעה ארוכת הטווח תלויה באופן שבו יטופלו הטוקנים הלא מורשים והמאגרות שנפגעו.

האם מדובר באותו סוג מתקפה כמו באירוע של KelpDAO?

האירוע של SAND והמתקפה על KelpDAO ב־18 באפריל 2026 קשורים בכך ששניהם נגעו למערכות בין־רשתיות שנבנו על גבי תשתית LayerZero. עם זאת, לפי הדיווחים, מנגנון הכשל היה שונה.

במקרה של KelpDAO, התוקפים פגעו בתשתית ששימשה את רשת האימות המבוזרת של LayerZero וניצלו תצורה שהתבססה על מאמת יחיד. הודעה בין־רשתית מזויפת גרמה לגשר לשחרר 116,500 יחידות rsETH, בשווי של כ־292 מיליון דולר באותה עת. LayerZero תיארה את האירוע כמוגבל לתצורת ה־rsETH של KelpDAO.

במקרה של SAND, המוקד היה בהרשאות חוזה שהוקצו לנציגים ובשימוש לרעה ב־approveAndCall, שאפשר הנפקת טוקנים לא מורשית. ההבדל חשוב: שני האירועים ממחישים סיכונים שונים במערכות גישור — תשתית אימות מצד אחד, ועיצוב הרשאות וגבולות סמכות בחוזים מצד שני. המידע הזמין אינו מצביע על כך שבאג זהה בפרוטוקול LayerZero גרם לשתי המתקפות.

הלקח המרכזי למשתמשים ולמפתחים

ההבחנה החשובה ביותר היא בין טוקנים שנוצרו, טוקנים שנמצאים בידי התוקפים ו־ערך שבאמת חולץ. גשר יכול להיכשל באופן שיוצר היצע נומינלי עצום, בלי לאפשר לתוקף לממש סכום דומה. מנגד, גם אירוע הנפקה קטן יותר עלול לפגוע בספקי נזילות ובאמון בשוק אם הוא משחרר או מרוקן נכסים בעלי ערך.

עבור משתמשים, השאלות המעשיות הן איזו רשת ואיזה חוזה נפגעו, האם ההפקדות והמשיכות עדיין מושבתות והאם הפרויקט פרסם כללי זכאות והתאוששות. עבור מפתחים, האירוע מדגיש את הצורך לבדוק בקפידה כל הרשאה שהוקצתה לנציג, כל נתיב הנפקה בעל הרשאות וכל גבול סמכות בין־רשתי — ולא להסתפק בבדיקת שכבת אימות ההודעות בלבד.