Eine im Cross-Chain-Bridge von The Sandbox versteckte Schwachstelle im Cross-Chain-Bridge ermöglichte es einem Angreifer kurzzeitig, Milliarden nicht gedeckter SAND-Token aus dem Nichts zu erschaffen, was eine hektische Reaktion auf südkoreanischen Börsen auslöste, bevor das Metaverse-Studio erklärte, es habe die Sicherheitslücke geschlossen. Der Sandbox-Bridge-Exploit, der in den frühen Morgenstunden des 22. August 2026 die Deployments auf Base und der BNB Smart Chain traf, hat Sicherheitsforscher und das Projekt selbst in einen scharfen Streit darüber gebracht, wie groß der tatsächliche Schaden war.
Summary
Wichtigste Erkenntnisse
- The Sandbox erklärt, es habe eine Schwachstelle in seiner SAND-Cross-Chain-Bridge vollständig eingedämmt, die es einem Angreifer erlaubte, nicht gedeckte Token auf Base und der BNB Smart Chain zu minten.
- Das Bridging zwischen beiden betroffenen Netzwerken wurde deaktiviert; The Sandbox sagt, dass keine Benutzer-Wallets betroffen waren und dass SAND auf Ethereum und Polygon weiterhin sicher ist.
- Das Sicherheitsunternehmen Blockaid schätzte, dass etwa 49 Milliarden US-Dollar an gefälschtem SAND über mehr als 400 Transaktionen gemintet wurden, während PeckShield 14,9 Milliarden SAND verzeichnete, die über zwei Adressen gemintet wurden.
- The Sandbox selbst beziffert die tatsächlichen Auswirkungen auf weniger als 0,01 % des gesamten SAND-Angebots – eine Zahl, die bislang nicht vollständig mit den Angaben externer Forscher in Einklang gebracht wurde.
- Upbit und Bithumb froren SAND-Einzahlungen und -Auszahlungen in Südkorea gemäß dem Virtual Asset User Protection Act des Landes ein, wobei Upbit zusätzlich Ethereum-Transfers aussetzte, obwohl diese Chain nicht betroffen war.
The Sandbox enthält eine Cross-Chain-Bridge-Schwachstelle
The Sandbox erklärt, der Vorfall sei beendet: Das Studio hinter dem Virtual-World-Spiel gab bekannt, es habe die Schwachstelle, die es einem Angreifer erlaubte, nicht gedeckten SAND zu minten, „identifiziert und vollständig eingedämmt“. In einer Erklärung, die am Samstag gegen 3:22 Uhr ET veröffentlicht wurde, forderte das Team die Nutzer auf, keinen SAND auf einem der beiden Netzwerke zu kaufen, zu verkaufen, zu handeln oder Liquidität bereitzustellen, solange die betroffenen Deployments isoliert bleiben.
Laut dem Sicherheitsunternehmen Blockaid erlangte der Angreifer unbefugten Zugriff auf die LayerZero-Delegiertenrechte über eine approveAndCall-Funktion, die im Cross-Chain-Fungible-Token-Vertrag von SAND auf Base implementiert ist. Diese Delegiertenrolle regelt, wer berechtigt ist, neue Token auf einer bestimmten Chain zu minten, und nachdem sie kompromittiert war, konnte der Angreifer SAND generieren, für den keine entsprechende Reserve auf Ethereum gesperrt war. Crypto.news berichtete, dass The Sandbox anschließend die LayerZero-Peer-Einstellungen entfernte, die Base und die BNB Smart Chain mit dem Rest des Netzwerks verbanden, und damit die offizielle Route kappte, über die Angreifer ansonsten echte Token aus der Ethereum-Reserve hätten abziehen können.
The Sandbox erklärt, dass keine Benutzer-Wallets kompromittiert wurden und dass SAND, das auf Ethereum und Polygon gehalten wird, unangetastet blieb. Entscheidend ist, dass das Projekt sagt, der auf Ethereum gesperrte SAND, der alle gebridgten Token besichert, sei „vollständig intakt“, was bedeutet, dass der zugrunde liegende Kollateral für das Cross-Chain-System nie in großem Umfang abgezogen wurde.
Sicherheitsfirmen und The Sandbox sind uneins über das Ausmaß des Schadens
Hier wird die Geschichte unübersichtlich. Blockaid meldete den Exploit Stunden vor der eigenen Stellungnahme von The Sandbox und bezifferte den Nennwert des geminteten gefälschten SAND auf etwa 49 Milliarden US-Dollar, die bis 0:14 Uhr ET über mehr als 400 einzelne Transaktionen bewegt wurden – laut Berichten zu einem Zeitpunkt, als der Angriff noch andauerte. PeckShield identifizierte in einer separaten Mitteilung um 1:40 Uhr ET 14,9 Milliarden SAND, die über ein Paar von Adressen generiert wurden, wobei Block-Explorer-Daten Guthaben von 14,65 Milliarden und 250 Millionen Token zeigen, die von der Null-Adresse gutgeschrieben wurden, die zur Ausgabe neu erstellter Token verwendet wird.
Beide Zahlen übersteigen das tatsächliche zirkulierende Angebot von SAND von etwa 2,94 Milliarden Token bei einem festen Maximum von 3 Milliarden, so CoinGecko. Das ist nicht unbedingt ein Widerspruch: Auf Base oder der BNB Smart Chain gemintete Token können das gedeckelte Angebot auf Ethereum nicht erhöhen, es sei denn, der Angreifer könnte auch die Bridge nutzen, um echte Reserven aus dem Ethereum-Adapter freizuschalten. Der Blockchain-Forensik-Account BlockWatchdog berichtete, dass es dem Angreifer gelungen sei, innerhalb von weniger als einer Minute etwa 14,75 Millionen SAND aus diesem Ethereum-Adapter abzuheben und den Erlös für rund 80 ETH zu verkaufen – zum damaligen Zeitpunkt etwa 675.000 US-Dollar wert.
Diese kleinere, reale Geldsumme könnte erklären, warum The Sandbox die direkten Auswirkungen als „weniger als 0,01 % des gesamten SAND-Angebots“ darstellt, obwohl die inoffiziellen Mint-Zahlen auf den betroffenen Chains in die Milliarden gingen. Das Projekt hat keinen technischen Bericht veröffentlicht, der seine eigene Schätzung mit den von Blockaid und PeckShield gemeldeten Zahlen in Einklang bringt, und auch keinen konkreten Verlust in US-Dollar offengelegt. Die Lücke zwischen „erstellten Token“ und „tatsächlich extrahiertem Wert“ ist der Kern dafür, warum externe Schätzungen und die eigene Bewertung des Unternehmens so weit auseinanderliegen.
Südkoreanische Börsen frieren Transfers ein, während sich Warnungen verbreiten
Aufsichtsbehörden warteten nicht auf die offizielle Bestätigung von The Sandbox. Upbit setzte SAND-Einzahlungen und -Auszahlungen auf Ethereum in einer Mitteilung um 22:12 Uhr ET am Freitag – 11:12 Uhr Korea Standard Time am Samstag – aus und verwies auf Umstände, die auf einen Sicherheitsvorfall hindeuteten, sowie auf eine Nutzer-Schutzklausel im südkoreanischen Virtual Asset User Protection Act. Bemerkenswert ist dies, weil Ethereum genau das Netzwerk ist, von dem The Sandbox sagt, es sei nie von dem Exploit betroffen gewesen. Upbit folgte etwa eine halbe Stunde später mit einer separaten Handelswarnung, in der darauf hingewiesen wurde, dass sich die Kursvolatilität von SAND ausweiten könnte, und verwies Nutzer auf Transaktionsaktivitäten einer bestimmten Base-Adresse, die mit dem mutmaßlichen Vorfall in Verbindung steht.
Bithumb setzte SAND-Einzahlungen und -Auszahlungen ab 11:11 Uhr KST am Samstag ebenfalls aus, ebenfalls unter Verweis auf das Nutzerschutzgesetz, ließ den Handel jedoch geöffnet und warnte vor möglichen starken Kursschwankungen. Keine der Börsen hat einen Zeitplan für die Wiederaufnahme der Transfers genannt, und beide erklärten, der Service werde zurückkehren, sobald die Stabilität des Netzwerks bestätigt sei.
Trotz der eingefrorenen Transfers und der anhaltenden Unsicherheit reagierte der Marktpreis von SAND kaum. Der Token wurde am Samstag um 4:12 Uhr ET bei rund 0,0479 US-Dollar gehandelt, was einem Anstieg von etwa 4,6 % innerhalb der vorangegangenen 24 Stunden und rund 22 % in der Vorwoche entspricht und seine Marktkapitalisierung laut CoinGecko-Angaben, die in der Berichterstattung über den Vorfall zitiert wurden, bei etwa 140,8 Millionen US-Dollar verortet. Separate Daten verwiesen auf ein 24-Stunden-Handelsvolumen von mehr als 66 Millionen US-Dollar und eine Marktkapitalisierung näher bei 136 Millionen US-Dollar, was unterstreicht, wie wenig der Exploit die Preise am Sekundärmarkt beeinträchtigte, obwohl Ein- und Auszahlungswege geschlossen blieben.
Entschädigungspläne und eine unvollständige Aufarbeitung
The Sandbox erklärt, es nehme einen Snapshot der Nutzerpositionen vor dem Angriff und bereite ein Entschädigungsschema für berechtigte Teilnehmer in den betroffenen Liquiditätspools vor, auch wenn noch kein Zahlungsplan veröffentlicht wurde. Das Projekt hat außerdem einen vollständigen Incident-Report und eine technische Post-Mortem-Analyse zugesagt, während die Untersuchung weiterläuft.
Vorerst bleibt vieles ungelöst. Weder Upbit noch Bithumb haben angegeben, wann SAND-Transfers wieder geöffnet werden, und The Sandbox hat die von Blockaid vorgeschlagene Hauptursache – die kompromittierten LayerZero-Delegiertenrechte – noch nicht in einem eigenen detaillierten technischen Bericht bestätigt. Bis dieser Bericht vorliegt, wird die Lücke zwischen der „weniger als 0,01 %“-Impact-Aussage des Studios und den externen Mint-Zählungen in Milliardenhöhe voraussichtlich weiter Fragen dazu aufwerfen, wie Cross-Chain-Bridges das verifizieren, was sie angeblich besichern, und wie schnell Börsen auf vermutete Sicherheitsvorfälle reagieren, selbst auf Netzwerken, von denen das betroffene Projekt behauptet, sie seien nie berührt worden.
FAQ
Was war die Art des SAND-Token-Exploits?
Ein Angreifer nutzte eine Schwachstelle in der Cross-Chain-Bridge von The Sandbox aus, um nicht gedeckte SAND-Token auf Base und der BNB Smart Chain zu minten, Berichten zufolge durch die Übernahme von LayerZero-Delegiertenrechten im Omnichain-Fungible-Token-Vertrag von SAND.
Wurden Benutzer-Wallets oder SAND auf Ethereum und Polygon betroffen?
Keine Benutzer-Wallets wurden kompromittiert, und SAND-Token auf Ethereum und Polygon blieben während des gesamten Vorfalls sicher, so The Sandbox.
Welche Maßnahmen ergriffen Börsen als Reaktion auf die Schwachstelle?
Die südkoreanischen Börsen Upbit und Bithumb froren SAND-Einzahlungen und -Auszahlungen unter Verweis auf das Nutzerschutzgesetz ein, wobei Upbit zusätzlich Ethereum-Transaktionen stoppte, obwohl dieses Netzwerk nicht betroffen war.
Wie geht The Sandbox mit dem Vorfall um?
The Sandbox hat das Bridging auf den betroffenen Netzwerken deaktiviert, bereitet einen Entschädigungsplan für Liquiditätsanbieter vor und hat einen vollständigen Incident-Report sowie ein technisches Post-Mortem zugesagt, sobald die Untersuchung abgeschlossen ist.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was war die Art des SAND-Token-Exploits?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Ein Angreifer nutzte eine Schwachstelle in der Cross-Chain-Bridge von The Sandbox aus, um nicht gedeckte SAND-Token auf Base und der BNB Smart Chain zu minten, Berichten zufolge durch die Übernahme von LayerZero-Delegiertenrechten im Omnichain-Fungible-Token-Vertrag von SAND.“}},{„@type“:“Question“,“name“:“Wurden Benutzer-Wallets oder SAND auf Ethereum und Polygon betroffen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Keine Benutzer-Wallets wurden kompromittiert, und SAND-Token auf Ethereum und Polygon blieben während des gesamten Vorfalls sicher, so The Sandbox.“}},{„@type“:“Question“,“name“:“Welche Maßnahmen ergriffen Börsen als Reaktion auf die Schwachstelle?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die südkoreanischen Börsen Upbit und Bithumb froren SAND-Einzahlungen und -Auszahlungen unter Verweis auf das Nutzerschutzgesetz ein, wobei Upbit zusätzlich Ethereum-Transaktionen stoppte, obwohl dieses Netzwerk nicht betroffen war.“}},{„@type“:“Question“,“name“:“Wie geht The Sandbox mit dem Vorfall um?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“The Sandbox hat das Bridging auf den betroffenen Netzwerken deaktiviert, bereitet einen Entschädigungsplan für Liquiditätsanbieter vor und hat einen vollständigen Incident-Report sowie ein technisches Post-Mortem zugesagt, sobald die Untersuchung abgeschlossen ist.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
