Sandbox bloque deux bridges après un exploit

The Sandbox a désactivé les bridges permettant de transférer le SAND vers ou depuis Base et BNB Smart Chain, après qu’un attaquant a créé des jetons sans disposer des réserves correspondantes sur Ethereum.

Selon l’analyse publiée par Blockaid, l’attaquant aurait détourné des permissions de délégation liées à LayerZero au moyen de la fonction approveAndCall. The Sandbox n’a pas encore confirmé ce mécanisme dans un rapport technique définitif.

📖 Tentative d’enlèvement liée à The Sandbox en France

Blockaid a comptabilisé plus de 400 transactions représentant environ 49 milliards de dollars de valeur nominale, tandis que PeckShield a observé la création de 14,9 milliards de SAND sur deux adresses. Ces chiffres mesurent des jetons sans garantie et ne correspondent ni à des fonds effectivement volés, ni à une somme que l’attaquant pouvait vendre.

The Sandbox estime que l’impact économique représente moins de 0,01 % de l’offre totale de trois milliards de SAND. Le projet n’a toutefois pas encore expliqué publiquement comment cette estimation s’articule avec les volumes beaucoup plus importants observés pendant l’attaque.

Selon l’équipe, aucun wallet utilisateur n’a été compromis, les SAND présents sur Ethereum et Polygon restent intacts et les réserves verrouillées sur Ethereum pour garantir les jetons transférés n’ont pas été affectées. Les SAND créés sur Base et BNB Smart Chain sont désormais isolés et ne peuvent plus être rachetés par le bridge officiel.

actualités redigées par DUC et revue de presse de tout l écosystèmes de la cryptomonnaies — Tout l’écosystèmes des cryptomonnaies

The Sandbox demande aux utilisateurs de ne plus acheter, vendre, échanger ou apporter de la liquidité au SAND sur les deux réseaux concernés. Bithumb a suspendu les dépôts et retraits à 4 h 11, heure de Paris, tandis qu’Upbit a pris une mesure comparable une minute plus tard.

Un instantané antérieur à l’incident doit servir à préparer une indemnisation des fournisseurs de liquidité remplissant les conditions requises. Aucun montant, calendrier de remboursement ou bilan définitif des actifs effectivement sortis n’a encore été publié.

🔍 DUC, mon avis

Présenter cet incident comme un vol de 49 milliards de dollars serait trompeur. Le véritable enjeu concerne le contrôle des permissions de création des jetons et la quantité d’actifs réellement récupérée par l’attaquant, que seul le rapport technique pourra établir.

✍️ DUC
📌 Sources : The Sandbox — Blockaid — Bithumb