Експлойт мосту SAND у The Sandbox: що насправді означають «$49 млрд»

Чому в новинах з’явилася цифра $49 млрд?

Blockaid повідомила, що приблизно $49 млрд у номінальній вартості SAND було створено більш ніж у 400 транзакціях. «Номінальна вартість» означає, що кількість нових токенів помножили на їхню ринкову ціну. Це не свідчить, що нападники могли продати весь обсяг за такою ціною.

Новостворений токен може мати високу котирувальну вартість, але недостатню ліквідність для великих продажів. Після виявлення атаки подальші можливості для реалізації токенів додатково обмежили зупинка мостів, обмеження на біржах, розпорошена ліквідність і втрата довіри до активу.

Інші дані блокчейн-аналітики вказували приблизно на 14,9 млрд SAND на адресах, контрольованих нападниками. Водночас окремий звіт оцінював фактично виведену суму як значно меншу за гучну цифру випуску. Ці показники описують різні речі — обсяг викарбуваних токенів, залишки на гаманцях і вже реалізовані або потенційно реалізовані надходження. Тому їх не можна механічно використовувати як взаємозамінні оцінки збитків.

Доступні матеріали не дають змоги назвати одну остаточну й незалежно підтверджену суму фактичного виведення. Найобережніший висновок такий: несанкціонований випуск був величезним у номінальному вимірі, але економічні втрати були істотно меншими за $49 млрд.

Чому оцінки The Sandbox і фахівців із безпеки різняться?

The Sandbox описала прямий вплив як менше ніж 0,01% від загальної емісії SAND у 3 млрд токенів. Натомість компанії з блокчейн-безпеки та ончейн-аналітики зосередилися на кількості несанкціоновано викарбуваних токенів або балансах адрес, пов’язаних із нападниками.

Ці твердження не обов’язково суперечать одне одному, адже вимірюють різні результати:

• Оцінка The Sandbox стосується прямого або потенційно реалізованого впливу, за оцінкою самого проєкту.
• Оцінка Blockaid описує номінальну вартість незабезпечених токенів, створених під час атаки.
• Ончейн-оцінки балансів показують кількість токенів на адресах, які пов’язують із нападником.
• Оцінка фактичних втрат потребувала б встановити, скільки токенів було продано, обміняно або використано для виведення інших активів.

Поки The Sandbox не оприлюднить повний постмортем і детальний розрахунок, ці цифри варто подавати як різні вимірювання одного інциденту, а не як одну узгоджену оцінку збитків.

Як The Sandbox зупинила атаку?

The Sandbox заявила, що виправила й локалізувала вразливість, заблокувала перекази через уражені кросчейн-мости та вимкнула переміщення SAND за участю Base і BNB Smart Chain. Проєкт також наголосив, що SAND в Ethereum і Polygon залишився неушкодженим.

Команда повідомила про плани зробити знімок стану постраждалих позицій постачальників ліквідності, визначити одержувачів допомоги для відповідних LP і опублікувати детальний постмортем. На момент, якого стосуються доступні повідомлення, остаточні правила компенсації, критерії участі та суми виплат публічно не визначили.

Тому важливо розділяти негайні заходи зі стримування атаки та майбутній план відновлення чи компенсації. Пауза в роботі мосту перекриває описаний шлях експлуатації, але сама по собі не вирішує питання вартості вже створених токенів і можливих втрат постачальників ліквідності.

Як відреагували криптобіржі?

Інцидент спричинив запобіжні заходи на південнокорейських біржах. Bithumb призупинила депозити та виведення SAND, а Upbit оголосила попередження для трейдерів через аномальну ончейн-активність і ризик підвищеної волатильності.

Деякі повідомлення описували ціну SAND як відносно стійку під час інциденту, а не таку, що обвалилася. Однак така реакція ринку не доводить, що експлойт був економічно безпечним: обмеження на біржах і тонка або ізольована ліквідність можуть відкладати повне формування ціни. Довгостроковий ефект залежатиме від того, як буде врегульовано долю несанкціонованих токенів і постраждалих пулів.

Чи був цей випадок таким самим, як експлойт KelpDAO?

Інцидент із SAND і атака на KelpDAO 18 квітня 2026 року справді стосувалися застосунків, побудованих із використанням кросчейн-інфраструктури на базі LayerZero. Проте механізми збоїв, за наявними даними, були різними.

У випадку KelpDAO нападники скомпрометували інфраструктуру, яку використовувала LayerZero Decentralized Verifier Network, і скористалися конфігурацією з одним верифікатором. Підроблене кросчейн-повідомлення змусило міст вивільнити 116 500 rsETH, які на той момент оцінювалися приблизно у $292 млн. LayerZero назвала цей випадок ізольованим до конфігурації rsETH у KelpDAO.

Атака на SAND натомість була пов’язана з делегованими правами доступу та зловживанням approveAndCall, що дозволило несанкціоновано карбувати токени. Різниця має значення: ці два інциденти демонструють різні ризики кросчейн-систем — вразливість інфраструктури перевірки в одному випадку та проблеми з авторизацією контрактів і дозволами в іншому. Доступні докази не підтверджують, що обидві атаки були спричинені однією і тією самою помилкою протоколу LayerZero.

Головний урок для користувачів і розробників мостів

Найважливіше — розрізняти створені токени, токени на балансах нападників і вартість, фактично виведену з протоколу. Помилка мосту може призвести до появи величезної номінальної пропозиції без еквівалентної суми ліквідних активів у нападника. Водночас навіть менший за масштабом випуск може завдати серйозної шкоди постачальникам ліквідності та довірі до ринку, якщо він розмиває ліквідність або відкриває шлях до виведення цінних активів.

Користувачам варто перевіряти, яка саме мережа й контракт постраждали, чи залишаються призупиненими депозити та виведення, а також чи оприлюднив проєкт правила компенсації та відновлення. Для розробників цей випадок нагадує про необхідність ретельно перевіряти кожен делегований дозвіл, привілейований шлях карбування і межі кросчейн-авторизації — а не лише рівень перевірки повідомлень.