Exploit Bridge Sand Contenu Après Mint Non Garanti

Imaginez un instant : un simple jour d’août, des millions de tokens apparaissent comme par magie sur deux blockchains secondaires, sans aucune contrepartie réelle. C’est exactement ce qui s’est produit avec le token SAND de The Sandbox. Un attaquant a réussi à créer des quantités massives de tokens non adossés sur Base et BNB Smart Chain. Le projet a rapidement réagi pour contenir l’incident, mais l’affaire soulève de sérieuses questions sur la sécurité des bridges cross-chain. Voici le récit complet de cet événement qui a marqué la communauté crypto.

L’attaque surprise sur le bridge SAND de The Sandbox

Le 22 août 2026, The Sandbox a annoncé avoir identifié et pleinement contenu une vulnérabilité critique affectant son pont cross-chain pour le token SAND. L’incident concernait spécifiquement les déploiements sur Base et BNB Smart Chain. L’attaquant a pu mint des tokens sans que les quantités correspondantes de SAND soient verrouillées sur Ethereum. Selon le projet, l’impact direct reste inférieur à 0,01 % de l’offre totale de 3 milliards de tokens.

Dans son communiqué officiel, l’équipe a tenu à rassurer les utilisateurs : aucun portefeuille individuel n’a été compromis. Les tokens SAND détenus sur Ethereum et Polygon sont restés totalement sécurisés. Les transferts impliquant Base et BNB Smart Chain ont été désactivés immédiatement afin d’isoler les tokens affectés et d’empêcher toute tentative de redemption via le bridge officiel.

Tous les fonds SAND bridgés sont adossés à du SAND verrouillé sur Ethereum, qui reste entièrement sécurisé.

Équipe The Sandbox

Cette déclaration a permis de calmer une partie des craintes, mais les détails techniques de l’attaque ont rapidement circulé parmi les chercheurs on-chain. Les alertes initiales montraient déjà plus de 500 millions de SAND mintés sur Base, un chiffre qui a grimpé en flèche au fil des interactions de l’attaquant avec le contrat.

Comment l’attaquant a créé des tokens non adossés

Le cœur du problème réside dans le fonctionnement même des bridges cross-chain basés sur le standard Omnichain Fungible Token de LayerZero. Dans ce modèle, un token existant est verrouillé sur son réseau d’origine pendant qu’une quantité équivalente est mintée sur la destination. Pour SAND, l’adaptateur Ethereum détient les tokens originaux destinés à soutenir les soldes cross-chain.

Un transfert légitime vers Base devrait donc verrouiller du SAND sur Ethereum avant de créer le montant correspondant sur Base. Cela permet de préserver une offre unique à travers les réseaux connectés. L’attaquant a toutefois brisé cette relation d’adossement sur les chaînes concernées sans modifier le contrat Ethereum ni augmenter l’offre maximale de 3 milliards de tokens.

Les premiers rapports de PeckShield ont identifié environ 14,9 milliards de SAND créés à travers deux adresses principales. D’autres chercheurs en sécurité ont relevé des centaines de transactions supplémentaires, générant des estimations encore plus élevées pour le volume total de tokens non adossés avant que le bridge ne soit désactivé.

Il est essentiel de comprendre que le volume minté ne correspondait pas à une perte financière directe pour le projet. Les tokens créés sur Base ou BNB Smart Chain ne pouvaient pas augmenter l’offre maximale d’Ethereum sauf si l’attaquant réussissait à utiliser le système cross-chain pour libérer de véritables tokens verrouillés dans l’adaptateur Ethereum.

Selon le compte de forensics blockchain BlockWatchdog, l’attaquant a retiré approximativement 14,75 millions de SAND de l’adaptateur Ethereum en moins d’une minute. Ces ventes ont généré environ 80 ETH, valorisés à peu près à 675 000 dollars au moment des transactions. Ce chiffre explique pourquoi The Sandbox a estimé l’impact à moins de 0,01 % de l’offre totale, malgré des volumes mintés apparemment bien plus importants.

La cause technique présumée de la vulnérabilité

Blockaid a attribué l’incident à la prise de contrôle des permissions de délégué LayerZero via une fonction approveAndCall. Selon la firme de sécurité, cet accès a permis à l’attaquant de mint des tokens à travers les contrats cross-chain affectés. The Sandbox n’a cependant pas encore confirmé cette hypothèse dans un post-mortem technique détaillé.

Pour interrompre toute communication entre les contrats affectés et les autres déploiements, The Sandbox a retiré les paramètres de pairs LayerZero pour Base et BNB Smart Chain. Cette action a coupé la route officielle par laquelle les tokens non adossés auraient pu servir à revendiquer des actifs détenus par l’adaptateur Ethereum.

Ce type de différenciation entre une défaillance de bridge et un problème sur la blockchain sous-jacente n’est pas nouveau. En juillet, l’exploit du bridge Wanchain avait vu environ 515 millions de NIGHT quitter le trésor côté Cardano, tandis que la Midnight Foundation affirmait que son réseau principal, ses validateurs et son système de consensus restaient intacts. Un autre incident en juillet avait permis à un attaquant d’utiliser le chemin d’import du bridge Verus pour déclencher des paiements d’actifs non adossés d’une valeur d’environ 7,54 millions de dollars.

Réaction rapide des échanges coréens

Les plateformes d’échange sud-coréennes ont réagi avec une rapidité caractéristique. Upbit a publié un avis de prudence après avoir détecté des signes d’un possible problème de sécurité impliquant SAND, avertissant que l’incident pourrait provoquer des mouvements de prix brusques. Bithumb a de son côté suspendu les dépôts et retraits de SAND le temps d’examiner la situation.

Selon les rapports citant les avis des exchanges, la suspension de Bithumb a été placée à 11 h 11 heure de Corée le 22 août, suivie par celle d’Upbit environ une minute plus tard. Les restrictions de trading et les suspensions de transferts peuvent différer, ce qui oblige les utilisateurs à vérifier chaque avis avant de passer un ordre ou de tenter de déplacer des SAND.

Cette réponse rapide s’inscrit dans les procédures habituelles des exchanges sud-coréens face à des actifs confrontés à des pannes réseau suspectées, des émissions anormales de tokens ou des incidents de sécurité. Les restrictions de dépôt limitent le risque que des tokens créés via un réseau compromis atteignent une plateforme et soient vendus contre des soldes non affectés.

Impact sur le prix et la liquidité de SAND

Après la divulgation, SAND a évolué près de 0,05 dollar, tandis que CoinGecko rapportait plus de 66 millions de dollars de volume sur 24 heures. Le fournisseur de données plaçait la capitalisation boursière du token près de 136 millions de dollars et montrait une hausse d’environ 18 % sur sept jours, même si les prix variaient selon les plateformes de trading.

Les utilisateurs sur Base se retrouvent confrontés à un risque de liquidité isolé. Pour les détenteurs américains, le lien immédiat passe par Base, le réseau de couche 2 d’Ethereum développé par Coinbase. La vulnérabilité signalée a touché les contrats cross-chain de The Sandbox déployés sur Base plutôt que le réseau sous-jacent lui-même, selon les divulgations disponibles du projet et des équipes de sécurité.

L’avertissement de The Sandbox s’applique à quiconque détient ou trade la version isolée de SAND sur Base, y compris les utilisateurs américains accédant aux exchanges décentralisés via des portefeuilles en auto-garde. Les tokens disponibles dans les pools de liquidité sur Base peuvent ne pas porter le même adossement que le SAND natif d’Ethereum tant que le bridge officiel reste désactivé.

Parallèles avec d’autres incidents LayerZero

Cet incident fait suite à une attaque d’avril impliquant un autre actif propulsé par LayerZero. Le rapport d’incident de LayerZero concernant KelpDAO indiquait que des attaquants avaient volé environ 116 500 rsETH d’une valeur de 292 millions de dollars après avoir compromis l’infrastructure utilisée par une configuration cross-chain à vérificateur unique.

Suite à l’attaque KelpDAO, LayerZero avait annoncé que son réseau de vérification cesserait de signer des messages pour les applications utilisant une configuration de type one-of-one et encouragerait les projets à adopter plusieurs vérificateurs indépendants. The Sandbox n’a pas précisé si sa configuration SAND utilisait le même modèle ni si la dernière vulnérabilité impliquait le réseau de vérification de LayerZero.

The Sandbox, filiale d’Animoca Brands qui avait levé 93 millions de dollars en 2021, a indiqué qu’elle publierait des informations supplémentaires au fur et à mesure de l’avancement de son enquête. Son dernier avis ne donnait ni date de restauration des transferts Base et BNB Smart Chain, ni calendrier d’ouverture des réclamations de compensation pour les fournisseurs de liquidité éligibles.

Ce que l’équipe a promis aux liquidité providers

The Sandbox a pris un snapshot des soldes avant l’attaque. Les fournisseurs de liquidité éligibles devraient recevoir une compensation basée sur ces soldes. Aucun calendrier de paiement n’a encore été communiqué, ce qui laisse certains participants dans l’attente.

Les utilisateurs ont été clairement invités à ne pas acheter, vendre ou fournir de liquidité pour SAND sur Base ou BNB Smart Chain tant que les déploiements affectés restent isolés. Cette recommandation vise à éviter que des tokens non adossés ne circulent davantage et ne créent de confusion sur le marché.

L’offre maximale de SAND reste fixée à 3 milliards selon CoinGecko, avec environ 2,9 milliards de tokens en circulation. Le mint non autorisé a rompu la relation d’adossement sur les chaînes concernées, mais n’a pas réécrit le contrat Ethereum ni relevé ce plafond.

Pourquoi l’offre Ethereum n’a pas bougé

Le standard LayerZero Omnichain Fungible Token repose sur des contrats liés pour déplacer des actifs entre blockchains. Sous son modèle d’adaptateur, un token existant est verrouillé sur son réseau d’origine pendant qu’une quantité équivalente est mintée à destination. Pour SAND, l’adaptateur Ethereum détient les tokens originaux destinés à soutenir les soldes cross-chain.

Un mint non autorisé brise cette relation d’adossement sur les chaînes touchées, mais ne modifie pas le contrat du token Ethereum ni n’augmente son offre maximale. C’est précisément ce qui s’est produit ici. CoinGecko a continué d’afficher une offre maximale de 3 milliards de SAND, avec environ 2,9 milliards de tokens en circulation.

En retirant les paramètres de pairs LayerZero pour Base et BNB Smart Chain, The Sandbox a empêché les contrats affectés de communiquer avec les autres déploiements. Cette mesure a coupé la route officielle par laquelle des tokens non adossés auraient pu être utilisés pour revendiquer des actifs détenus par l’adaptateur Ethereum.

Leçons pour l’écosystème DeFi et les bridges

Cet incident s’ajoute à une série d’attaques ciblant les infrastructures cross-chain. Les bridges restent l’un des points les plus sensibles de l’écosystème crypto. Chaque fois qu’un projet connecte plusieurs réseaux, il introduit un vecteur d’attaque potentiellement lucratif pour des acteurs malveillants.

La rapidité de réaction de The Sandbox a limité les dégâts. En isolant immédiatement les réseaux touchés et en désactivant les transferts, l’équipe a empêché une propagation plus large. Cependant, l’absence de post-mortem technique complet laisse encore des zones d’ombre sur le mode opératoire exact de l’attaquant.

Les utilisateurs doivent rester vigilants lorsqu’ils interagissent avec des versions bridgées de tokens. Tant qu’un bridge n’est pas pleinement rétabli et audité, les versions isolées peuvent présenter des risques de liquidité ou de valorisation différents de ceux du token natif.

Un contexte plus large de vulnérabilités cross-chain

Les bridges cross-chain ont connu plusieurs incidents majeurs ces dernières années. Que ce soit via des bugs de contrats, des compromissions de clés ou des failles dans les mécanismes de vérification, les sommes en jeu sont souvent considérables. L’attaque sur SAND, bien que limitée en impact financier relatif, rappelle que même des projets établis comme The Sandbox ne sont pas à l’abri.

LayerZero, en tant que protocole sous-jacent, a déjà adapté ses recommandations après l’incident KelpDAO. L’encouragement à utiliser plusieurs vérificateurs indépendants vise à réduire le risque de compromission d’un point unique de défaillance. Il reste à voir si The Sandbox ajustera sa configuration en conséquence une fois l’enquête terminée.

Pour les investisseurs et les utilisateurs de l’écosystème metaverse de The Sandbox, cet événement constitue un test de confiance. Le projet a su communiquer rapidement et contenir la menace, mais la restauration complète des fonctionnalités cross-chain et le traitement des compensations seront scrutés de près.

Perspectives et prochaines étapes pour The Sandbox

The Sandbox a promis de publier des informations complémentaires au fil de son investigation. Les détenteurs de liquidité sur les réseaux touchés attendent désormais des précisions sur le processus de compensation. Le snapshot pré-attaque servira de base pour déterminer les montants éligibles.

La restauration des transferts vers Base et BNB Smart Chain ne devrait intervenir qu’après un audit approfondi et la mise en place de mesures correctives. En attendant, les versions isolées de SAND sur ces réseaux restent hors du circuit officiel de bridging.

Sur le plan du marché, le token a montré une certaine résilience avec une hausse hebdomadaire notable malgré l’annonce. Le volume élevé de transactions indique un intérêt soutenu, même si une partie de l’activité peut provenir de spéculateurs cherchant à profiter de la volatilité générée par l’incident.

Analyse de l’impact réel versus les chiffres bruts

L’un des aspects les plus intéressants de cet incident réside dans l’écart entre les volumes mintés et la perte réelle. Des milliards de tokens non adossés ont été créés, mais seuls 14,75 millions de SAND ont effectivement quitté l’adaptateur Ethereum. Cette distinction est cruciale pour comprendre pourquoi le projet a pu affirmer un impact inférieur à 0,01 % de l’offre totale.

Sans la capacité de redeem ces tokens non adossés contre du SAND réel via le bridge, leur valeur reste largement théorique. En isolant les réseaux et en retirant les paramètres de pairs, The Sandbox a neutralisé ce risque de conversion.

Les chercheurs on-chain continueront probablement d’analyser les transactions pour retracer le parcours exact des fonds. Les 80 ETH obtenus par l’attaquant représentent le principal gain monétaire identifié à ce stade, un montant relativement modeste comparé à d’autres exploits de bridges dans l’histoire récente de la DeFi.

Le rôle des exchanges dans la gestion de crise

La suspension quasi simultanée des dépôts et retraits par Upbit et Bithumb illustre l’importance des procédures d’urgence mises en place par les plateformes centralisées. En limitant les flux entrants de tokens potentiellement problématiques, ces exchanges protègent à la fois leurs utilisateurs et l’intégrité de leurs order books.

Cette réactivité contraste parfois avec des situations passées où des tokens issus d’exploits ont pu être vendus librement avant toute intervention. Ici, la coordination rapide a sans doute contribué à limiter la pression vendeuse sur le marché global de SAND.

Les utilisateurs doivent toutefois rester attentifs aux avis spécifiques de chaque plateforme. Les restrictions peuvent évoluer rapidement en fonction des développements de l’enquête et des décisions internes des exchanges.

Conséquences pour les utilisateurs sur Base

Base, en tant que layer-2 promu par Coinbase, attire une part croissante d’activité DeFi américaine. Les détenteurs de SAND sur ce réseau se retrouvent actuellement avec des tokens isolés dont la liquidité et l’adossement ne sont plus garantis par le bridge officiel.

The Sandbox a explicitement recommandé de ne pas interagir avec ces versions tant que la situation n’est pas résolue. Cette prudence s’applique particulièrement aux pools de liquidité sur les exchanges décentralisés de Base, où des tokens non adossés pourraient circuler.

Pour les utilisateurs en auto-garde, la situation rappelle l’importance de comprendre exactement quelle version d’un token on détient. Un SAND sur Base n’est pas identique à un SAND sur Ethereum en termes de garanties d’adossement, surtout pendant une période d’isolation.

Regard vers l’avenir de la sécurité des bridges

L’écosystème crypto continue d’évoluer vers une interopérabilité croissante. Les bridges et les protocoles omnichaîne sont essentiels à cette vision, mais ils restent des cibles privilégiées. Chaque incident de ce type pousse l’industrie à renforcer les mécanismes de vérification, à multiplier les audits et à améliorer la transparence des configurations.

The Sandbox, en tant qu’acteur majeur du metaverse, a un intérêt particulier à restaurer la confiance. La manière dont le projet gérera les compensations et communiquera sur les mesures correctives influencera probablement la perception des utilisateurs à long terme.

En attendant, la communauté surveille de près les prochains communiqués. L’absence de date précise pour le rétablissement des transferts et l’ouverture des réclamations laisse une certaine incertitude, même si l’impact global a été contenu avec succès.

Synthèse des faits établis à ce jour

L’attaquant a exploité une vulnérabilité du bridge SAND pour mint des tokens non adossés sur Base et BNB Smart Chain. Environ 14,75 millions de SAND ont été retirés de l’adaptateur Ethereum, générant environ 675 000 dollars de gains. The Sandbox a isolé les réseaux touchés, désactivé les transferts et promis des compensations aux liquidité providers éligibles sur la base d’un snapshot pré-attaque.

Les tokens sur Ethereum et Polygon n’ont pas été affectés. L’offre maximale reste inchangée. Les exchanges coréens ont suspendu temporairement les dépôts et retraits. Le projet n’a pas encore publié de post-mortem technique complet ni confirmé définitivement la cause avancée par Blockaid.

Cet incident s’inscrit dans une série d’exploits visant les infrastructures cross-chain. Il rappelle l’importance de la vigilance pour les utilisateurs et la nécessité de configurations de sécurité robustes pour les projets qui connectent plusieurs blockchains.

La suite de l’affaire dépendra des annonces à venir de The Sandbox. Pour l’heure, le message est clair : les versions isolées de SAND sur Base et BNB Smart Chain doivent être évitées, tandis que les détenteurs sur Ethereum et Polygon peuvent considérer leurs actifs comme sécurisés.

Dans un écosystème où les bridges jouent un rôle central, chaque faille mise au jour contribue, paradoxalement, à renforcer les défenses collectives. Reste à savoir si les leçons tirées de cet exploit SAND se traduiront par des améliorations durables pour l’ensemble de l’industrie.

Les prochains jours et semaines apporteront sans doute davantage de clarté. En attendant, la communauté crypto observe, analyse et tire les enseignements d’un incident qui, malgré des volumes mintés impressionnants, a finalement été contenu avec une efficacité relative grâce à la réactivité du projet concerné.