Aanval op SAND-brug maakt 49 miljard dollar aan tokens ongedekt

Marktcontext per 21.45 CET. SAND noteert 0,046 dollar, 11,4 procent onder de 24-uurs high van 0,052 dollar en bijna 7 procent boven het 24-uurs low van 0,043 dollar. Het 24-uurs volume op Kraken stijgt circa 3,3 procent. De marktkapitalisatie van SAND staat op 135 miljoen dollar, tegenover de nominale 49 miljard dollar aan vervalste tokens uit de exploit, een verhouding van ruim 360 keer. Bron, Kraken en CoinGecko.

Bron: CoinCodex

Aanval legt zwakte in de SAND-brug bloot

Een aanvaller misbruikte zaterdag de functie approveAndCall in de SAND-brug, die bevoegdheden regelt voor het ketenoverschrijdende protocol LayerZero zelf. Door delegate-rechten te kapen kreeg de dader toestemming om tokens te minten zonder enig onderpand te storten. Zomaar. Blockaid telde ruim 400 transacties met een nominale waarde van 49 miljard dollar, verspreid over enkele uren tijd. Twee adressen. PeckShield herleidde daar 14,9 miljard tokens naartoe, ruim voordat het spoor koud werd. Ethereum en Polygon bleven buiten schot. The Sandbox zette de brug naar Base en BNB Chain binnen enkele uren stil. Nog voor het weekend goed op gang kwam.

Zuid-Koreaanse beurzen Bithumb en Upbit schorsten dezelfde dag alle stortingen en opnames van SAND uit pure voorzorg. Geen enkele gebruikerswallet raakte gecompromitteerd, meldt The Sandbox zelf in de eigen verklaring aan gedupeerden. Een datum ontbreekt. De koers van SAND zakte intraday circa 10 procent, voordat een deel van dat verlies later wegviel. Kleine winst dus. Die 49 miljard dollar staat gelijk aan ruim 360 keer de actuele marktkapitalisatie van SAND. Nog altijd 135 miljoen dollar op dit moment. Nog geen 0,01 procent. Zoveel van de voorraad raakte het lek uiteindelijk echt, ondanks de duizelingwekkende kop erboven. Vergelijk dat met bitcoin. Reguliere koude opslag bij een gereguleerde beurs vereist geen kwetsbare brug tussen twee aparte ketens.

Nederlandse SAND-bezitters lopen vooral koersrisico

SAND staat genoteerd op Bitvavo, een beurs met een MiCA-vergunning van de AFM voor de hele Europese markt. De hack trof alleen de brug naar Base en BNB Chain. Niet het rechtstreekse beheer bij een Nederlandse aanbieder zelf. Toch voelt een Nederlandse bezitter het risico via de koers, niet via zijn eigen wallet op de beurs. Een positie van 1.000 euro in SAND zakte intraday circa 100 euro op papier, illustratief en geen advies. MiCA verplicht CASP’s zoals Bitvavo tot een incidentprocedure en strikte klantactiva-scheiding voor elke aangesloten aanbieder. Buiten toezicht. LayerZero en vergelijkbare brugprotocollen vallen niet direct onder diezelfde Europese regels. Toezichthouders werken intussen aan de MiCA-regels voor DeFi-kluizen, met een consultatie die tot eind september open staat. Twee risico’s tegelijk. Het bewaarrisico bij de beurs zelf, en het technische risico van de brug erachter. Box 3 blijft ondertussen van toepassing op de waarde op de peildatum, los van de oorzaak van deze schommeling. Vermogen telt.

Waarom aanvallen op brugprotocollen blijven terugkeren

Deze hack volgt op een reeks vergelijkbare incidenten deze zomer, waaronder de MANTRA-hack en de BounceBit-exploit op EU-grond. Coreum verloor in juli ongeveer 200.000 XRP via een vergelijkbaar bruglek in zijn eigen infrastructuur. Steeds dezelfde zwakte. Een brug die te veel bevoegdheid aan een contract of sleutel toekent, zonder tweede handtekening als controle. The Sandbox belooft een technisch post-mortem en zegt de rechten van de gecompromitteerde delegate te hebben ingetrokken. Dat rapport telt. Beleggers doen er goed aan het te lezen voordat ze de brug weer vertrouwen met nieuw kapitaal. Het 24-uurs low van 0,043 dollar op Kraken is het eerstvolgende niveau om te bewaken de komende dagen. Onder dat niveau. Dan weegt de markt dit incident zwaarder dan de 0,01 procent technische schade nu suggereert.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.