49 tỷ USD không phải số tiền hacker lấy được
Sự cố liên quan đến The Sandbox khiến các trình theo dõi blockchain ghi nhận lượng SAND mới được tạo ra có giá trị danh nghĩa gần 49 tỷ USD, nhưng con số này không phản ánh thiệt hại kinh tế thực tế.
Theo dữ liệu on-chain được dẫn lại, khoảng 14,75 triệu SAND, trị giá gần 675.000 USD, dường như đã rời khỏi lượng dự trữ hợp lệ trước khi hệ thống bị đóng lại. Ngoài ra, khoảng 79,74 ETH cũng được chuyển đổi trong quá trình tấn công.
Sở dĩ xuất hiện con số 49 tỷ USD là vì các trình theo dõi lấy giá thị trường của SAND thật nhân với lượng token được mint trái phép. Tuy nhiên, số token này không có tài sản bảo chứng, thanh khoản hay người mua tương ứng.
Hacker được cho là lợi dụng quyền trên cầu nối
Theo Blockaid, kẻ tấn công đã chiếm quyền delegate liên quan đến cơ chế Omnichain Fungible Token của SAND trên Base thông qua tuyến approveAndCall, từ đó có thể mint SAND không được bảo chứng.
Vấn đề nghiêm trọng nằm ở khoảng thời gian trước khi cầu nối bị vô hiệu hóa, khi SAND giả vẫn có thể được hoán đổi với các tài sản có giá trị thật trong pool thanh khoản.
The Sandbox sau đó cho biết đã cô lập lỗ hổng trên Base và BNB Chain, đồng thời tắt chức năng cross-chain của SAND tại hai mạng này.
Theo dự án, SAND trên Ethereum và Polygon không bị ảnh hưởng, ví người dùng cũng không bị xâm phạm.
🚨 Blockaid detected an ongoing exploit on @TheSandboxGame SAND OFT on Base.
Attackers hijacked LayerZero delegate permissions via approveAndCall and minted unbacked SAND.
~$49B face-value SAND minted so far across ~400+ txs. Attack still ongoing.
More details in 🧵— Blockaid (@blockaid_) August 22, 2026
Thiệt hại cuối cùng vẫn chưa được xác định
Hiện vẫn chưa thể kết luận chính xác nguyên nhân gốc rễ của sự cố. Các khả năng được nhắc tới gồm khóa delegate bị lộ, quyền hạn được cấp quá rộng hoặc cấu hình ứng dụng cross-chain không an toàn.
The Sandbox chưa công bố báo cáo kỹ thuật cuối cùng, vì vậy nói rằng “LayerZero bị hack” hiện vượt quá những gì bằng chứng hỗ trợ.
Dự án cho biết đã lưu snapshot trước sự cố và đang chuẩn bị phương án bồi thường cho các nhà cung cấp thanh khoản đủ điều kiện.
Điểm quan trọng nhất là đây không phải vụ đánh cắp 49 tỷ USD. Con số cần theo dõi là lượng tài sản thật rời khỏi dự trữ và mức bồi thường cuối cùng dành cho các bên bị ảnh hưởng.
