凭空铸出的“490亿美元”——从 Sandbox 事件看懂跨链代币

区块链游戏平台 The Sandbox 关闭了通往 Base 与 BNB 智能链的跨链桥：此前有攻击者找到漏洞，铸造出没有任何抵押支撑的 SAND 代币。安全公司 Blockaid 估算，这批新增代币按市价计算的“面值”约为 490 亿美元，分散在 400 多笔交易中——这个数字值得停下来想一想，因为 SAND 的总市值只有大约 1.36 亿美元。

先看懂这个数字，因为它最容易让人误判。490 亿美元并不是被偷走的钱，它只是把 SAND 的市场价格乘以凭空铸出的代币数量，而市场上从来没有那么多流动性可供卖出。另一家安全公司 PeckShield 统计到两个地址共铸造了 149 亿枚 SAND。两个数字是在事件的不同阶段测得的，衡量的都是名义上的铸币量，而不是已确认的损失。The Sandbox 则表示，此次影响不到 SAND 30 亿枚总供应量的 0.01%，按这个口径不足 30 万枚，但官方既没有定义“影响”指什么，也没有解释它与前述数字之间的差距。

对新手来说，真正有用的是原理。跨链代币并不等于原生代币。当 SAND 从以太坊转到另一条链上时，原币被锁在以太坊，另一端再铸出一份对应的凭证；这份凭证之所以有价值，完全依赖于被锁定的抵押品和跨链桥的铸币规则同时成立。Blockaid 表示，攻击者通过 approveAndCall 函数劫持了 LayerZero 的 delegate 权限，铸造出没有抵押支撑的 SAND。关闭跨链桥等于把这些凭证冻结在原地：目前 Base 和 BNB 智能链上的 SAND 既无法转移，也无法赎回。

官方称以太坊和 Polygon 上的 SAND 不受影响，没有用户钱包被攻破，锁定在以太坊、用于支撑跨链供应量的 SAND 仍然完好。团队提醒用户不要在这两条受影响的链上买卖或交易该代币，因为那里的流动性已被破坏。韩国交易所 Bithumb 与 Upbit 已暂停 SAND 的充值与提现。The Sandbox 表示已对事发前的状态做了快照，正在为受影响流动性池中符合条件的用户准备赔偿，技术复盘报告稍后发布。SAND 盘中一度下跌近 10%，当日收跌约 0.8%。

这里有两个可以带走的习惯。第一，名字和代号相同的代币，在每条链上并不自动是同一种资产——你持币所在的链，决定了你信任的是哪一份合约、哪一座跨链桥。第二，看到安全事件里出现天文数字时，先分辨那是攻击者真正能卖出的金额，还是仅仅把市价乘以凭空造出的代币数量。另外，如果项目方要求暂停在某条网络上交易，稳妥的做法是照做、等复盘报告，并把私聊里主动提出“收购”你手上被冻结代币的人，当成第二次攻击。本文提供信息，不构成投资建议。