SAND-exploiten i The Sandbox förklarad

Varför nämndes 49 miljarder dollar?

Blockaid rapporterade att obackade SAND till ett nominellt värde av omkring 49 miljarder dollar hade präglats i mer än 400 transaktioner. Med nominellt värde menas här att mängden nyskapade token värderas enligt det då noterade marknadspriset. Siffran visar alltså inte att angriparna kunde sälja hela mängden till det priset.

En token kan ha ett högt beräknat marknadsvärde på papperet utan att det finns tillräcklig likviditet för stora försäljningar. När exploiten upptäcktes begränsades dessutom den möjliga realiseringen av att bryggor stängdes, börser införde restriktioner, likviditeten splittrades och marknadens förtroende försämrades.

Andra on-chain-uppgifter pekade på omkring 14,9 miljarder SAND på adresser som kontrollerades av angriparen, medan en separat uppskattning bedömde att det faktiskt uttagna beloppet var betydligt mindre än den uppmärksammade präglingssiffran. Dessa mått beskriver olika saker – präglad mängd, saldon i plånböcker samt realiserade eller potentiellt realiserade intäkter – och kan därför inte behandlas som likvärdiga förlustuppskattningar.

Det tillgängliga underlaget fastställer inte någon enda slutlig och oberoende verifierad summa för vad som faktiskt togs ut. Den försiktigaste slutsatsen är att den obehöriga utgivningen var enorm i nominella termer, medan den ekonomiska förlusten var betydligt mindre än 49 miljarder dollar.

Därför skiljer sig skadeuppskattningarna åt

The Sandbox beskrev den direkta påverkan som mindre än 0,01 procent av SAND:s totala utbud på 3 miljarder token. Säkerhetsföretag och on-chain-analytiker fokuserade i stället på hur många obehöriga token som präglades eller fanns på adresser kopplade till angriparen.

Uppgifterna behöver inte stå i direkt motsats till varandra – de mäter olika utfall:

• The Sandboxs uppskattning avser projektets bedömning av den direkta eller realiserbara påverkan.
• Blockaids uppskattning avser det nominella värdet på obackade token som präglades under attacken.
• On-chain-saldon visar hur många token som observerades på adresser förknippade med angriparen.
• Realiserad förlust kräver att man fastställer hur många token som såldes, växlades eller användes för att ta ut andra tillgångar.

Innan The Sandbox publicerar en fullständig obduktionsrapport och redovisning bör siffrorna därför beskrivas som olika mätningar av samma incident – inte som en enda samstämmig totalsumma.

Hur stoppades attacken?

The Sandbox uppgav att sårbarheten hade åtgärdats och att incidenten var under kontroll. Projektet blockerade överföringar genom de berörda cross-chain-bryggorna och stängde av bryggning som involverade Base och BNB Smart Chain. Ethereum- och Polygon-versionerna av SAND uppgavs vara opåverkade.

Projektet sade också att det skulle ta en ögonblicksbild av berörda likviditetspositioner, kontakta kvalificerade likviditetsleverantörer och publicera en detaljerad obduktionsrapport. I den rapportering som fanns tillgänglig hade slutliga regler för ersättning, kvalificeringskrav och utbetalningsbelopp ännu inte offentliggjorts.

Det är därför viktigt att skilja på omedelbar inneslutning och en eventuell senare återbetalnings- eller kompensationsplan. Att bryggan pausas förhindrar fortsatt användning av den rapporterade angreppsvägen, men löser inte automatiskt problemet med redan präglade token eller de förluster som likviditetsleverantörer kan ha drabbats av.

Börser vidtog försiktighetsåtgärder

Incidenten ledde till försiktighetsåtgärder hos sydkoreanska kryptobörser. Bithumb stoppade insättningar och uttag av SAND, medan Upbit utfärdade en handelsvarning på grund av den onormala aktiviteten på blockkedjan och risken för ökad volatilitet.

Vissa rapporter beskrev SAND:s marknadspris som relativt motståndskraftigt under incidenten, snarare än att kursen kollapsade. Det betyder dock inte att exploiten var ekonomiskt harmlös. Handelsbegränsningar och tunn eller isolerad likviditet kan fördröja prisupptäckten, medan den långsiktiga effekten beror på hur de obehöriga tokenen och de berörda likviditetspoolerna hanteras.

Var detta samma sak som KelpDAO-exploiten?

SAND-incidenten och KelpDAO-exploiten den 18 april 2026 berörde båda applikationer som byggde på LayerZero-baserad cross-chain-infrastruktur, men de rapporterade feltyperna var olika.

I KelpDAO-fallet komprometterades infrastruktur som användes av ett LayerZero Decentralized Verifier Network, eller DVN, och angriparna utnyttjade en konfiguration med en enda verifierare. Det förfalskade cross-chain-meddelandet fick bryggan att släppa 116 500 rsETH, värda omkring 292 miljoner dollar vid tidpunkten. LayerZero beskrev händelsen som isolerad till KelpDAO:s rsETH-konfiguration.

SAND-händelsen kretsade i stället kring delegerade behörigheter i smarta kontrakt och hur approveAndCall kunde missbrukas för att möjliggöra obehörig prägling av token. Skillnaden är viktig: de två incidenterna visar olika risker i cross-chain-system – verifieringsinfrastruktur i det ena fallet och behörighets- och auktoriseringsdesign i det andra. Det tillgängliga underlaget visar inte att samma identiska LayerZero-bugg orsakade båda attackerna.

Den viktigaste lärdomen

Den centrala skillnaden går mellan skapade token, token som hålls av angriparen och värde som faktiskt har tagits ut. En brygga kan fallera på ett sätt som skapar ett enormt nominellt utbud utan att angriparen får motsvarande mängd realiserbara pengar. Samtidigt kan en mindre utgivningshändelse ändå skada likviditetsleverantörer och marknadens förtroende om värdefulla tillgångar släpps fria eller töms ur pooler.

För användare är de praktiska frågorna vilka kedjor och kontrakt som påverkades, om insättningar och uttag fortfarande är pausade samt om projektet har publicerat regler för ersättning och återhämtning. För utvecklare understryker incidenten behovet av att granska varje delegerad behörighet, privilegierad mint-funktion och gräns för cross-chain-auktorisering – inte bara själva lagret som verifierar meddelanden.