The Sandbox : un pont SAND piraté sur Base et BSC

Un pont entre réseaux, pas le jeu lui-même

SAND est le jeton associé à The Sandbox. Pour le faire circuler entre plusieurs blockchains, le projet utilise un pont : en principe, des jetons sont verrouillés sur un réseau d'origine, puis le même montant est créé sur le réseau de destination. Cette équivalence est essentielle. Un jeton créé à l'arrivée doit correspondre à un jeton réellement bloqué au départ.

Selon The Sandbox, la vulnérabilité concernait uniquement les ponts SAND vers Base et BNB Smart Chain, aussi appelée BSC. L'entreprise dit avoir coupé les transferts dans les deux sens sur ces réseaux. Elle précise que les SAND détenus sur Ethereum et Polygon, ainsi que les jetons bloqués sur Ethereum pour garantir les transferts, ne sont pas affectés selon ses analyses actuelles.

Des milliards de jetons créés sans contrepartie

L'alerte de sécurité la plus citée vient de PeckShield, qui a relevé environ 14,9 milliards de SAND créés sur deux adresses. Ce total dépasse largement le plafond officiel de trois milliards de SAND. Ce chiffre ne signifie pas qu'une somme équivalente a été dérobée dans les portefeuilles des utilisateurs : il décrit des unités créées sans les actifs verrouillés qui auraient dû les garantir.

Blockaid, autre société spécialisée dans la sécurité des transactions blockchain, a indiqué que l'attaquant aurait détourné des permissions déléguées liées au mécanisme de création sur Base. Elle évoquait alors plus de 400 transactions et une valeur faciale d'environ 49 milliards de dollars. Ce montant théorique ne correspond pas forcément à une perte réalisable : la création de jetons sans garantie peut rendre le marché local illiquide avant même toute vente.

Une alerte officielle à prendre au pied de la lettre

The Sandbox demande explicitement de ne pas acheter, vendre ni échanger de SAND sur Base ou BSC tant que les ponts ne sont pas restaurés. Le problème ne concerne donc pas seulement l'attaquant. Lorsqu'une quantité artificielle apparaît sur un réseau, un échange ou un fournisseur de liquidité peut afficher un prix qui ne reflète plus l'existence d'une garantie réelle derrière le jeton.

La plateforme indique préparer une compensation pour les fournisseurs de liquidité éligibles, à partir d'un relevé des positions antérieures à l'incident. Elle annonce aussi un rapport détaillé et un audit avant toute remise en service. Des plateformes sud-coréennes, Upbit et Bithumb, ont de leur côté suspendu des dépôts et retraits de SAND, d'après les avis rapportés par The Defiant.

Pourquoi les ponts sont une cible sensible

Un pont inter-chaînes concentre une fonction à haut risque : il décide qui peut créer ou libérer des jetons sur plusieurs réseaux. Une erreur dans ses autorisations, ou la compromission d'un compte disposant de ce pouvoir, peut produire des actifs qui semblent valides techniquement mais ne disposent d'aucune contrepartie. C'est différent du vol d'un mot de passe de particulier : ici, c'est la règle de création elle-même qui est visée.

Dans cet incident, Blockaid attribue le mécanisme à des permissions LayerZero détournées par une fonction appelée approveAndCall. Cette explication est une analyse de l'entreprise de sécurité. The Sandbox confirme la vulnérabilité et son confinement, mais n'a pas encore publié son propre rapport technique complet. Il faut donc éviter de présenter le détail exact de l'intrusion comme définitivement établi.

Les réflexes utiles pour les détenteurs de SAND

Si vous détenez ou utilisez du SAND sur Base ou BSC, ne l'échangez pas et ne le transférez pas en vous fondant sur un prix affiché. Vérifiez d'abord le réseau concerné dans votre portefeuille : le même nom de jeton peut exister sur plusieurs blockchains, mais l'incident ne vise pas tous ces réseaux de la même manière.

Pour suivre l'évolution, consultez les canaux habituels de The Sandbox et les avis de votre plateforme d'échange en tapant vous-même leur adresse. Méfiez-vous des messages qui promettent une prétendue récupération, une compensation immédiate ou un lien de migration : une crise technique sert souvent de prétexte à de faux supports. Ne communiquez jamais votre phrase de récupération à une personne ou à un site reçu par message.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas établir indépendamment le nombre définitif de jetons créés ni leur éventuelle valeur économique. PeckShield évoque 14,9 milliards de SAND sur deux adresses, tandis que Blockaid parlait d'une création en cours et d'une valeur faciale supérieure. Ces mesures n'ont pas le même moment de référence ni la même méthode annoncée.

The Sandbox ne détaille pas encore publiquement l'origine exacte de la vulnérabilité, le montant d'une éventuelle perte, ni la date de rétablissement des ponts. Son chiffre de moins de 0,01 % de l'offre totale, cité pour caractériser l'impact, n'est pas accompagné d'une méthode de calcul publique. Le rapport technique annoncé sera nécessaire pour lever ces zones d'ombre.

Sources : The Sandbox ↗ · Blockaid ↗ · The Defiant ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.