The Sandbox 就 8 月 21 日发生的跨链桥漏洞事件发布报告，承诺从项目金库拨出以太坊 ETH 链上的 SAND 代币，对符合资格的受害者进行 1:1 补偿，预计两周内开放申领。
这起事件共导致约 1,474 万枚 SAND 被非法提取，按文中口径价值约 70 万美元。官方表示，以太坊与 Polygon 链上的 SAND 未受影响，总供应量维持 30 亿枚，也没有发生密钥泄露。
漏洞来源：跨链桥合约配置缺陷
报告指出，攻击源于 Base 与 BNB 链上 SAND 代币合约的调用机制漏洞。该合约原本设计了便捷功能，供用户节省交易手续费，但因为合约同时也是跨链桥注册应用，消息层将代币指令误判为官方授权。
攻击者借此取得管理员权限，并修改验证设置，把自己控制的地址设为唯一验证者。随后，攻击者提交伪造的跨链存款消息，在没有提供实体抵押品的情况下凭空铸造无担保 SAND。
获利路径分两阶段进行
在铸造无担保代币后，攻击者通过两条路径实现获利。
第一阶段，攻击者在 Base 链上的去中心化交易所分次出售无担保代币，并通过自动化程序持续利用套利机器人的补充资金，套现约 327.59 个 WETH。
第二阶段，攻击者再利用伪造消息发起反向跨链交易，销毁无担保代币，并从以太坊金库提取真实抵押品。调查还显示，提币过程中有第三方套利机器人在无意间买入无担保代币并完成赎回，最终总计约 1,474 万枚 SAND 被提走。
旧桥将永久停用，补偿不通过增发完成
事件发生后，The Sandbox 团队已于 8 月 22 日关闭所有受影响链上的合约级跨链桥，阻断剩余无担保代币的流动性。官方表示，受影响的旧跨链桥合约将永久停用，后续会改用全新部署的合约。
赔偿方面，团队称将直接从项目金库拨出代币进行 1:1 赔偿，不会增发新代币。
其中，Coinbase 与 Binance 两家中心化交易所持有超过 72% 的受影响余额，官方将直接与这两家平台合作发放补偿；其余符合资格的个人钱包用户，则可在未来两周内通过专属页面申领。
SAND 出现短期波动
The Sandbox 表示，虽然官方密钥没有泄露，Polygon 独立跨链连接与以太坊主网资产也保持完好，但市场仍出现短期价格波动。
根据 CoinGecko 数据，截至截稿前，SAND 交易价格约为 0.03 美元。项目方称，后续将持续优化跨链安全架构，以确保生态稳定运行。