Un atacante minteó 14.900 millones de SAND en la red Base y drenó 14,75 millones desde el adaptador de Ethereum en menos de un minuto: Upbit emitió un aviso de negociación y Bithumb suspendió depósitos y retiros.
El contrato de The Sandbox (SAND) desplegado sobre la red Base ha sido explotado. Según los datos on-chain, un atacante acuñó 14.900 millones de tokens y, en menos de un minuto, drenó aproximadamente 14,75 millones de SAND del adaptador de Ethereum. La cifra minteada resulta especialmente elocuente si se compara con la oferta de 3.000 millones de tokens que el proyecto mantiene en Ethereum: el ataque generó de la nada varias veces el suministro original del activo.
Las alertas on-chain y la reacción de Corea del Sur
El incidente se destapó por la vía habitual en este tipo de sucesos: las alertas automáticas de los rastreadores on-chain. PeckShield y BlockWatchdog señalaron un presunto exploit y, a partir de ahí, la respuesta de los exchanges surcoreanos fue inmediata. Upbit emitió una advertencia de negociación sobre SAND, mientras que Bithumb optó por la medida más contundente y suspendió tanto los depósitos como los retiros del token.
La decisión de Bithumb es el cortafuegos estándar frente a un mint no autorizado: si existen tokens creados artificialmente, cualquier ventana de depósito abierta es una vía potencial para que el atacante convierta suministro falso en liquidez real. En el rastro de la operación figura además un movimiento de 80 ETH, unos 675.000 dólares.
Un mint de 14.900 millones frente a una oferta de 3.000 millones
El daño de un exploit de este tipo tiene dos caras. Por un lado está el drenaje directo: 14,75 millones de SAND salidos del adaptador de Ethereum, un componente cuya función es precisamente mantener la correspondencia entre las representaciones del token en distintas redes. Por otro, la acuñación de 14.900 millones de unidades, que rompe cualquier relación creíble entre el suministro declarado del proyecto y el que existe realmente sobre Base.
La velocidad —menos de un minuto entre la acuñación y el drenaje— apunta a una ejecución automatizada y preparada de antemano, no a una exploración manual del contrato. Es el patrón repetido en los fallos de lógica de los contratos puente: cuando la vulnerabilidad se identifica, la extracción ya ha terminado.
Animoca, MANTRA y el punto débil de siempre
The Sandbox es una subsidiaria de Animoca Brands que levantó 93 millones de dólares en una ronda de financiación en 2021, uno de los nombres más reconocibles del segmento de mundos virtuales y activos digitales. Que un proyecto de ese perfil sufra un exploit en su capa de despliegue multichain refuerza una lectura incómoda: la seguridad del token principal no garantiza la de sus adaptaciones en otras redes.
El incidente refleja los riesgos de los tokens cross-chain de forma similar a lo ocurrido con MANTRA. El contrato original puede ser sólido y estar auditado, pero cada nueva red añade un adaptador, un permiso de minteo y una superficie de ataque adicional. En SAND, ese eslabón cedió.
Queda por ver si los fondos drenados son recuperables y cuándo Bithumb restablecerá los depósitos y retiros. Mientras tanto, el aviso de Upbit sigue activo y el análisis de las transacciones continúa, con una lección que la industria ya ha pagado varias veces: el punto más frágil de una arquitectura multichain rara vez es la cadena, casi siempre es el puente.