币圈界报道：

沙盒游戏发布1:1代币赔付方案，锁定双链受损用户群体

在经历8月21日的安全事件后，沙盒游戏项目方正式宣布对受攻击影响的用户实施等额补偿机制，将以基于以太坊的SAND代币形式进行1:1赔付。根据公告，补偿申领通道将于8月27日信息披露后的两周内启动，并持续开放两周。

补偿范围明确限定于跨链桥接资产持有者

此次赔偿仅覆盖在攻击发生时，位于Base链及BNB智能链（BSC）上持有桥接版SAND代币且能提供交易凭证的用户。经评估，该部分用户的总损失金额约为69.7万美元。值得注意的是，以太坊主网版本的SAND未受波及，其供应量维持在30亿枚；而Polygon链上的SAND亦因独立桥接架构保持安全。

资金发放周期预计长达一个月，申领流程分阶段推进

项目方确认，所有符合条件的用户需等待至少一个月才能完成补偿到账。申领系统将在8月27日之后的两周内开放，期间仅接受具备完整证据链的申请。最终发放将采用以太坊网络发行的SAND代币，确保资产可追溯、不可篡改。官方强调，两条核心链的余额状态完好，用户无需主动操作即可参与补偿。

漏洞根源指向桥接合约设计缺陷，非密钥泄露

项目方事后分析指出，此次攻击源于Base与BSC链上SAND代币合约的设计缺陷——该合约被配置为同时承担桥接注册应用角色。由于消息解析机制将外部输入误判为直接指令，攻击者利用此逻辑漏洞，通过四步操作完成大规模伪造铸造。首先，他们以“调用”功能将自身地址设为管理员；随后修改验证规则，使单次批准即可授权桥接请求；接着提交虚假存款消息，在底层链上凭空生成大量SAND代币，但无对应以太坊资金注入；最后，将部分虚假代币兑换为以太币，并反向桥接提取真实金库中的代币。

法证数据显示，攻击者共提取14,742,341.84枚真实SAND，获利约98.7万美元，整体经济损失达149万美元。

桥接通道永久关闭，修复风险被判定为不可控

自8月22日世界协调时05:26起，沙盒游戏已在合约层面全面关闭三条链的桥接功能。项目方声明，从当日02:21起已无任何代币流出，漏洞已被完全封堵。尽管初期估计有超5亿枚SAND被异常创建，但实际损失控制在总供应量的0.01%以下。

目前，项目方已放弃重新开放桥接的可能。原因在于，受影响合约存在永久性权限配置缺陷，任何试图收回控制权的行为都可能被任意支付Gas费的第三方推翻。官方明确表示：“不存在可安全启用桥接的配置选项。”

事件最初由链上分析机构Lookonchain揭示，其标记出疑似无限铸造行为。韩国交易所Upbit与Bithumb随即暂停SAND充提并发布风险提示。当时该代币价格约为0.042美元，市值约1.23亿美元。