跨链桥被攻破，凭空多出339万亿枚代币 — 你手里的跨链币究竟是什么

区块链游戏平台 The Sandbox 承诺，将按1:1向受影响的持有者赔付。8月21日，攻击者利用其代币跨链桥的漏洞，从一个以太坊金库中转走了约1,470万枚 SAND（价值约70万美元）；他接管了 SAND 在 Base 和 BNB 智能链上的桥合约，并在此过程中于这两条链上凭空铸造了超过339万亿枚没有资产支撑的代币。

出问题的是一处配置缺陷，它让攻击者得以成为跨链消息的唯一验证者。这一点值得展开，因为它正好解释了跨链桥在做什么：你的币并没有真的在链之间移动，原来的币被锁在或留在一条链上，另一条链上再发行一枚对应的代币。谁负责验证消息，谁就决定哪一次发行算数 — 一旦成为唯一的验证者，你说什么都算数。

损失被控制住了。被转走的约1,470万枚 SAND 约占其30亿枚最大供应量的0.5%，而那339万亿枚无支撑代币已被隔离，无法跨链，也无法赎回。以太坊和 Polygon 上的 SAND 未受影响。The Sandbox 表示，出问题的桥合约将被永久停用，未来若再开 Base 或 BNB 链的桥，会使用重新部署的新合约。

赔付方面：在攻击发生前合法持有 Base 或 BNB 智能链上跨链 SAND 的用户，将获得等量的以太坊版 SAND，资金来自项目金库，不增发新代币。The Sandbox 于周四发布了事故复盘，预计领取通道将在两周内开放，并再开放两周。超过72%的合资格余额存放在两家中心化交易所，将由交易所直接发放给各自的用户。

比这一个代币更长久的功课是：跨链代币是一张凭证，不是原来那枚币。它的价值取决于桥的账目是否始终诚实 — 这是与币本身分开的另一重风险，代号相同，担保却不同。还值得记住的是，赔付窗口期正是假冒领取页面最爱出现的时候。请只从 The Sandbox 的官方渠道获取领取链接；任何正当环节都不会要你的助记词；看不懂的钱包签名就不要签。如果你的余额放在交易所，本来就该由交易所替你处理，你可能根本不需要自己去领。