The Sandbox reembolsará 1:1 a víctimas del robo de SAND en un puente

The Sandbox anunció un reembolso 1:1 para los usuarios que mantenían SAND legítimo en Base y BNB Smart Chain cuando un exploit permitió acuñar y retirar millones de tokens. La compensación llegará en SAND de Ethereum, mientras el puente afectado permanecerá cerrado de forma permanente.
***

• The Sandbox reembolsará en SAND de Ethereum a los usuarios elegibles de Base y BNB Smart Chain.
• La ventana de reclamos abrirá dentro de dos semanas y permanecerá disponible durante otras dos semanas.
• El análisis forense identificó el retiro de 14.742.341,84 SAND, mientras el impacto económico total rondó los USD $1.490.000.

---

The Sandbox anunció un plan de compensación 1:1 para los usuarios afectados por el exploit ocurrido el 21 de agosto en su infraestructura de puente. La empresa indicó que pagará en SAND basado en Ethereum a las carteras que mantuvieran legítimamente tokens puenteados en Base o BNB Smart Chain, conocidas también como BSC, justo antes del incidente. En conjunto, ese grupo de usuarios perdió aproximadamente USD $697.000 según el análisis presentado por el proyecto.

La decisión busca restituir la cantidad de tokens que cada cartera tenía expuesta en las dos redes comprometidas, sin extender el beneficio a posiciones adquiridas después del ataque ni a otros saldos de SAND. The Sandbox explicó que los tenedores de la versión alojada directamente en Ethereum no sufrieron afectaciones, mientras que Polygon opera mediante un puente separado y tampoco quedó expuesto. Por ello, los saldos de Ethereum y Polygon permanecen intactos y sus usuarios no necesitan realizar ninguna acción.

Reclamos comenzarán en las próximas semanas

El calendario anunciado establece que la ventana de reclamos se abrirá dentro de las dos semanas posteriores al comunicado del 27 de agosto. Una vez habilitado el procedimiento, permanecerá disponible durante dos semanas adicionales, de modo que los usuarios tendrán que esperar al menos un mes para recibir efectivamente la compensación si el proceso comienza al límite del plazo indicado.

The Sandbox todavía no detalló en la información suministrada todos los pasos técnicos para demostrar la titularidad o validar cada cartera elegible. Sin embargo, delimitó el criterio principal: el usuario debe probar que mantenía SAND puenteado legítimamente en Base o BSC al momento del exploit, y el reembolso se entregará en la representación de SAND existente en Ethereum.

La compensación no modifica el suministro de SAND en Ethereum, que según el proyecto continúa en 3.000 millones de tokens. Esa precisión resulta relevante porque el ataque creó activos falsos en las redes afectadas, pero no alteró los saldos ni el suministro de la cadena principal, donde se emitirá el reembolso.

El proyecto también aclaró que los usuarios con SAND en Ethereum y Polygon no necesitan mover fondos, firmar transacciones ni participar en el reclamo anunciado. La recomendación implícita es mantener la cautela ante eventuales intentos de phishing que podrían aprovechar la expectativa de compensaciones para solicitar claves, firmas o transferencias.

Una configuración del contrato abrió la puerta al ataque

En su análisis posterior al incidente, The Sandbox atribuyó la vulnerabilidad a los contratos del token SAND en Base y BSC, no a claves bajo control directo del proyecto. El diseño permitía que el contrato del token funcionara también como la aplicación registrada del puente, una configuración que pretendía ahorrar transacciones adicionales a los usuarios, pero que otorgó un alcance excesivo a los mensajes recibidos desde esa dirección.

Según la explicación técnica, la capa de mensajería interpretaba cualquier entrada proveniente de la dirección del contrato como una instrucción directa de The Sandbox. El atacante aprovechó esa confianza para utilizar una función de llamada y registrar su propia dirección como administrador autorizado, con lo que obtuvo la capacidad de modificar los controles que debían proteger las operaciones del puente.

Después, el agresor reescribió las configuraciones de verificación para que una única aprobación proveniente de su propia dirección bastara para confirmar un mensaje. Esa modificación eliminó, en la práctica, la separación de controles que debía impedir que una sola entidad validara depósitos o instrucciones sin respaldo en Ethereum.

Con ese acceso, el atacante envió mensajes de depósito falsos que acuñaron SAND en Base y BSC, aunque nunca habían ocurrido los depósitos correspondientes en Ethereum. Posteriormente vendió una parte de los tokens falsificados por ether y empleó la función de puente inverso para extraer SAND real desde la bóveda de Ethereum.

El análisis forense situó el retiro directo de la bóveda en 14.742.341,84 SAND, con un valor aproximado de USD $987.000 en el momento de la operación. The Sandbox calculó que el impacto económico total del episodio alcanzó cerca de USD $1.490.000, una cifra que incluye las consecuencias de la acuñación fraudulenta y las operaciones posteriores, mientras que la compensación anunciada cubre el monto legítimamente expuesto por los usuarios.

El puente permanecerá cerrado de forma permanente

The Sandbox cerró el puente a nivel de contrato en las tres cadenas el 22 de agosto a las 05:26 UTC. El proyecto sostuvo que no había salido SAND desde las 02:21 UTC de ese mismo día y, en su primer aviso público del 22 de agosto, describió la vulnerabilidad como totalmente contenida, con un impacto inferior al 0,01% del suministro total del token.

La contención impidió que el incidente siguiera drenando fondos, pero no permitió recuperar una base técnica segura para reactivar el servicio. De acuerdo con el post-mortem, los contratos afectados conservan la posibilidad permanente de ser reconfigurados, por lo que el control sobre los roles de delegado sería disputable para siempre y cualquier recuperación podría ser revertida por alguien dispuesto a pagar las comisiones de red.

La conclusión del proyecto fue tajante: no existe una configuración de esos contratos que permita reabrir el puente con seguridad. Por esa razón, The Sandbox no presentó la clausura como una suspensión temporal ni dejó abierta una hoja de ruta para restablecer el mecanismo original entre Ethereum, Base y BSC.

El cierre permanente también cambia la forma en que los usuarios deberán interpretar las futuras operaciones de SAND entre redes. Aunque el plan de compensación utilizará SAND de Ethereum, la información disponible no anuncia un nuevo puente ni especifica qué infraestructura reemplazará al mecanismo comprometido, por lo que cualquier servicio posterior requeriría un diseño distinto y controles independientes.

La decisión ilustra una tensión recurrente en los sistemas de interoperabilidad: una configuración diseñada para reducir fricción puede concentrar demasiada autoridad en un punto que los atacantes terminan controlando. En este caso, el proyecto prefirió sacrificar la utilidad del puente antes que reabrir contratos cuya lógica de administración ya no podía considerarse confiable.

El incidente provocó alertas en el mercado

El episodio comenzó como una alerta de mercado antes de que The Sandbox publicara todos los detalles técnicos. Lookonchain señaló un presunto ataque de acuñación infinita y estimó que se habían creado más de 500 millones de SAND, una lectura que intensificó la preocupación sobre una posible dilución del token y sobre la capacidad del atacante para vender los activos generados.

Los exchanges surcoreanos Upbit y Bithumb restringieron los depósitos y retiros de SAND, además de advertir a los operadores sobre la volatilidad. Esas medidas reflejaron la incertidumbre inicial acerca de qué representaciones del token estaban comprometidas y ayudaron a limitar los movimientos mientras se cerraban los contratos de puente en las redes involucradas.

Durante la cobertura inicial, SAND cotizaba cerca de USD $0,042 y registraba una capitalización de mercado aproximada de USD $123 millones, según CoinMarketCap. La relación entre el volumen presuntamente acuñado, los fondos retirados de la bóveda y el tamaño del mercado alimentó el temor de que una venta rápida agravara la presión sobre el precio.

Los datos posteriores permitieron separar la alarma general de la exposición concreta: Ethereum conservó su suministro de 3.000 millones de SAND, Polygon no compartió los contratos comprometidos y el reembolso se concentrará en usuarios con saldos puenteados legítimos de Base y BSC. Esa distinción no elimina el daño económico, pero acota el grupo afectado y evita presentar el incidente como una pérdida universal para todos los tenedores del activo.

Ahora el principal desafío consiste en ejecutar un proceso de reclamos verificable, transparente y resistente a nuevos abusos. La compensación anunciada ofrece una salida para las carteras elegibles, pero el cierre definitivo del puente confirma que recuperar la confianza requerirá algo más que devolver tokens: también será necesario demostrar que cualquier infraestructura futura no repite la concentración de permisos que permitió el exploit.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.