O Sandbox recebe um golpe de US$ 700 milhões com uma casa da moeda que nunca existiu de verdade.

No sábado, alguém descobriu uma falha na infraestrutura de rede do The Sandbox e, por algumas horas, o token SAND do projeto metaverso existiu em duas realidades simultaneamente. Teoricamente, um atacante cunhou quase 15 bilhões de SAND sem lastro — cerca de cinco vezes o suprimento total do token, que é de 3 bilhões. Na prática, ele embolsou aproximadamente US$ 665.000. Ambos os valores são verdadeiros, e a diferença entre eles revela muito sobre como esses exploits de ponte realmente funcionam.

A PeckShield foi a primeira a identificar a emissão ilegal, rastreando 14,9 bilhões de SAND em duas carteiras, 0xAbE0…4D22 e 0x638C…F296. Ao preço do SAND naquela manhã, isso representa algo entre US$ 700 milhões e US$ 718 milhões em tokens que não deveriam existir. A Blockaid, outra empresa de segurança que monitorava o mesmo contrato, apresentou um valor ainda maior — quase US$ 49 bilhões em valor nominal em mais de 400 transações — porque contabilizou os eventos de emissão enquanto o ataque ainda estava em andamento, e não o total final após a estabilização da situação.

Eis o mecanismo, pelo que se conseguiu deduzir até agora. O SAND usa o padrão de token omnichain da LayerZero para transitar entre Ethereum, Base, BNB Smart Chain e Polygon sem uma ponte tradicional de bloqueio e cunhagem em cada etapa. Essa configuração depende de uma função de "delegado" que controla a autoridade de cunhagem em cada cadeia. De alguma forma, o atacante obteve o controle desse delegado na implementação da Base e usou uma função chamada approveAndCall para burlar as verificações que normalmente impediriam a criação de tokens sem lastro. Ninguém fora do The Sandbox e seus auditores sabe ainda se foi um bug no contrato inteligente, uma chave comprometida ou algo mais — a equipe afirma que uma análise completa será publicada, e eu esperaria por ela antes de presumir qual das duas hipóteses foi a correta.

O que realmente importava era o lado do Ethereum. O design da ponte do Sandbox bloqueia SAND real no Ethereum para lastrear cada token cunhado em outros lugares. O atacante encontrou uma maneira de drenar esse bloqueio: aproximadamente 14,75 milhões de SAND saíram do adaptador OFT do Ethereum, a maior parte — mais de 14 milhões — em seis transações dentro de uma janela de 24 segundos que tem as características de um script, não de uma pessoa clicando em botões. Esse SAND foi convertido em cerca de 80 ETH, valendo entre US$ 665.000 e US$ 675.000, dependendo do snapshot de preço usado. Essa é a verdadeira perda. Todo o resto é oferta inflacionada em uma blockchain isolada, sem ter para onde ir.

A Sandbox confirmou a exploração no X, afirmando ter "identificado e contido completamente" o problema e que o dano representou menos de 0,01% do fornecimento total. A equipe cortou as conexões da LayerZero com a Base e a BSC, o que impede que os tokens inflacionados sejam resgatados ou transferidos para qualquer lugar relevante. Segundo eles, o Ethereum e o Polygon SAND não foram afetados e nenhuma carteira de usuário foi comprometida. O cofundador Sebastien Borget acrescentou mais detalhes em uma publicação posterior, observando que a equipe detectou o problema em seis horas e contratou a OpenZeppelin — a empresa que originalmente auditou o contrato — para ajudar a investigar a causa raiz. Um snapshot anterior ao incidente será divulgado, juntamente com a compensação para os provedores de liquidez afetados pelas pools isoladas, embora ainda não haja um cronograma de pagamento definido.

As corretoras reagiram rapidamente, o que demonstra o quão nervoso esse mercado ainda está após um ano como 2026. A Bithumb congelou depósitos e saques de SAND. A Upbit emitiu um alerta aos usuários. A Coinbase confirmou a remoção dos contratos futuros de SAND de sua plataforma em 26 de agosto. Nada disso desfaz o ataque, mas mostra a rapidez com que um número divulgado — mesmo que falso — pode se espalhar pela infraestrutura do mercado antes que alguém confirme sua veracidade.

E o preço do SAND? Uma verdadeira bagunça. Algumas plataformas mostraram o token caindo de 5 a 10% nas horas seguintes à divulgação da notícia. Outras mostraram uma alta; o CoinMarketCap chegou a registrar uma alta de mais de 10%, com o volume de negociação disparando centenas de por cento à medida que os traders de futuros se aglomeravam em ambas as direções. Não vou fingir que tenho uma explicação clara para essa divisão; baixa liquidez e pânico em ambas as direções podem causar efeitos estranhos em um token que já havia caído mais de 99% em relação à sua máxima de 2021, de US$ 8,40.

Essa nem sequer é uma categoria de falha nova. O abuso de delegados e pares da LayerZero já apareceu em pelo menos três incidentes separados desde a primavera — uma exploração da ponte Polkadot que cunhou um bilhão de DOTs não autorizados, um ataque menor à ponte ALPH da Alephium e agora isso. Some a isso os cerca de 4 bilhões de tokens ONE não autorizados da Harmony no início deste ano e a violação de propriedade separada da WEMIX, e você começa a ver um padrão: a autoridade de cunhagem entre blockchains ainda está, em 2026, frequentemente por trás de um único ponto de falha que os projetos descobrem somente depois que alguém já o encontrou. O próprio relatório semestral da Blockaid estimou as perdas verificadas por exploração em US$ 1,1 bilhão em 212 incidentes apenas no primeiro semestre de 2026, com comprometimentos de infraestrutura e chaves como um tema recorrente, e não um caso isolado.

O Sandbox afirma que um relatório técnico está a caminho. Até lá, o resumo honesto é o seguinte: ninguém roubou US$ 700 milhões, mas alguém descobriu uma falha real em um padrão de ponte amplamente utilizado, e a solução é mais importante do que o número assustador da manchete.