490亿美元！元宇宙第一大项目被黑，黑客疯狂印钞149亿枚，韩国交易所紧急拔网线，结果只偷走了67万……

一、一觉醒来，SAND 被人印了 5 倍的总量

8 月 22 日，币圈被一条消息炸醒了。

元宇宙赛道的龙头项目 ——The Sandbox（沙盒），被黑客攻击了。

据安全公司 PeckShield 监测，两个以0xAbE0和0x638C开头的地址，利用漏洞共计铸造了 149 亿枚 SAND 代币。

149 亿枚是什么概念？

SAND 的总供应量才 30 亿枚。黑客这一波操作，直接把 SAND 的 "流通量" 膨胀到了原来的近 5 倍。如果按当时市价计算，这些凭空印出来的代币名义价值高达约 7.18 亿美元。

而另一家安全公司 Blockaid 的监测数据更加惊人：黑客通过 400 多笔交易持续铸造，名义价值一度接近 490 亿美元。

490 亿美元，什么概念？相当于整个加密货币市场一天交易量的零头，被一个黑客用几行代码 "印" 了出来。

消息一出，市场瞬间恐慌。

二、韩国两大交易所同时 "拔网线"

最先反应过来的是韩国交易所。

8 月 22 日当天，韩国最大交易所 Upbit 发布风险警告，称已确认 SAND 网络存在 "疑似安全事件"，可能引发剧烈价格波动，提醒持有 SAND 的用户谨慎交易。

几乎同时，韩国另一大交易所 Bithumb 直接宣布暂停 SAND 的充值和提现。

两大交易所同时出手，这在币圈极为罕见。要知道，Upbit 和 Bithumb 合计占据韩国加密市场 90% 以上的份额，它们的动作直接影响全球 SAND 的流动性。

The Sandbox 官方随后在 X 上发布声明，承认跨链桥存在漏洞，已紧急暂停 Base 和 BNB Smart Chain（BSC）上的 SAND 跨链桥接，并呼吁用户不要在这两条链上与 SAND 代币进行交互。

官方同时试图安抚市场：以太坊和 Polygon 上的 SAND不受影响，资产是安全的。

但投资者的恐慌已经蔓延。一个曾经的 "元宇宙第一股"、币安 Launchpad 明星项目、软银领投的百亿估值项目，竟然能被黑客 "无限印钞"—— 信任的崩塌，比代币本身的损失更可怕。

三、黑客是怎么做到的？一个函数，撕开整条跨链桥

这次攻击的技术细节，让整个安全圈都倒吸一口凉气。

问题出在 The Sandbox 使用的LayerZero 全链代币（OFT）标准上。OFT 是 LayerZero 推出的跨链代币标准，可以让代币在不同区块链之间无缝流转。

黑客利用了一个名为approveAndCall的函数，通过它劫持了跨链桥的委托权限（delegate permissions）。

正常情况下，要在 Base 或 BSC 上铸造 SAND，必须先在以太坊上锁定等量的 SAND 作为抵押，跨链桥才会在目标链上铸造对应数量的代币。这是跨链桥的基本逻辑 ——1:1 锚定，有抵押才能印。

但黑客通过approveAndCall绕过了这一校验，直接获得了铸造权限。没有抵押，没有限制，想印多少印多少。

这就是典型的 "无限铸币" 攻击（Infinite Mint Exploit）。

更令人细思极恐的是，这个漏洞存在于LayerZero 的 OFT 标准实现中。这意味着，不只是 The Sandbox，所有使用相同 OFT 标准实现的项目，理论上都可能面临同样的风险。

The Sandbox 不是第一个倒下的。就在不久前，BounceBit也因类似的跨链桥漏洞被攻击。牛市资金涌入，黑客也在加班。

四、最荒诞的反转：印了 490 亿，只偷走了 67 万

就在所有人以为 The Sandbox 要彻底完蛋的时候，剧情出现了神反转。

根据链上数据追踪，黑客虽然铸造了天量的 SAND，但实际成功转移并套现的只有约 1475 万枚 SAND，按当时价格计算约合 67.5 万美元。

The Sandbox 官方在后续声明中也确认：直接损失不到 SAND 总供应量的 0.01%。

印了 490 亿美元的账面代币，实际只偷走了 67 万美元 —— 这听起来像是一个黑色幽默。

为什么会这样？

原因很简单：黑客印出来的 SAND，根本卖不掉。

当 149 亿枚无抵押的 SAND 突然出现在 Base 和 BSC 上时，流动性池瞬间被砸穿。这些代币在链上虽然 "存在"，但没有真实的购买力支撑，也没有足够的交易深度来承接天量抛压。黑客能做的，只是在流动性还没完全枯竭前，快速抛售一小部分套现。

更关键的是，The Sandbox 团队反应迅速，在攻击发生后第一时间暂停了跨链桥，将 Base 和 BSC 上的 SAND 彻底隔离。这些被恶意铸造的代币，变成了被困在两条链上的 "幽灵资产"—— 看得见，卖不掉，转不走。

官方还宣布，将根据攻击前记录的余额，对受影响的流动性提供者进行补偿。

一场看似灭顶之灾的攻击，最终以 "账面 490 亿，实际损失 67 万" 的荒诞结局收场。

五、但真正的问题，才刚刚开始

虽然实际损失不大，但这次攻击暴露的问题，远比 67 万美元严重得多。

第一，跨链桥依然是币圈最大的安全黑洞。从 Ronin 到 Wormhole，从 Multichain 到 BounceBit，再到今天的 The Sandbox，跨链桥被黑的故事一再上演。每一次，都是因为一个小小的权限漏洞，导致整条桥的信任基础崩塌。

第二，LayerZero 的 OFT 标准需要重新审视。作为目前最主流的跨链代币标准之一，如果 OFT 的实现存在系统性风险，那受影响的将不只是一个 SAND，而是成百上千个项目。

第三，"元宇宙已死" 的论调再次被印证。The Sandbox 曾经是元宇宙赛道的旗帜，估值一度高达 40 亿美元，软银、三星、HTC 都是投资方。但如今日活低迷、代币价格距历史高点跌去 90% 以上，连安全审计都似乎松懈了。一个项目的衰落，往往是从 "没人在乎" 开始的。

第四，你的资产真的安全吗？当一个项目可以被黑客 "无限印钞"，当交易所可以随时暂停充提，当你的代币被困在一条被隔离的链上动弹不得 —— 所谓的 "去中心化" 和 "资产自有"，在漏洞面前脆弱得不堪一击。

490 亿美元的账面浩劫，67 万美元的实际损失，The Sandbox 这次被黑，像极了币圈的一个缩影：

表面上惊天动地，实际上一地鸡毛；看起来去中心化，本质上还是靠人兜底；喊着 "代码即法律"，出了事还是得团队拔网线。

黑客印了 149 亿枚 SAND，没能毁掉这个项目，但毁掉了很多人对 "跨链安全" 的最后一点信心。

下一个被 "无限印钞" 的，会是谁？

没人知道。但可以确定的是，只要跨链桥还在，只要代码还有漏洞，这样的故事就永远不会结束。

风险提示：本文仅为行业事件分析与信息整理，不构成任何投资建议。加密货币市场风险极高，请务必做好资产安全防护，不要将大量资产长期存放在交易所或跨链桥上。