The Sandbox August cross-chain SAND exploit 今天进入 normal compensation deadline。
符合条件的 self-custody user 可以按照 pre-exploit snapshot，领取：
1:1 Ethereum SAND
Standard portal 在：
2026-09-22 16:00 UTC
关闭。
但今天没赶上并不一定等于永久 forfeiture：The Sandbox 表示可以到 10 月底前做 case-by-case late review。
原 Exploit 是什么？
事件影响的是：
- Base 上的 bridged SAND；
- BNB Smart Chain 上的 bridged SAND。
Attacker 利用 bridge configuration / message-verification authority weakness，能够让 fake incoming message 被认可，从而 mint unbacked SAND。
Incident analysis 给出的规模约：
14,742,341.84 SAND
直接 incident-time value 约：
$697K
更广的 economic-impact estimate 接近：
$1.5M
这些是 incident analysis；用户 compensation entitlement 不需要根据“自己到底卖亏多少”来证明。
Ethereum / Polygon SAND 没有被这条漏洞影响
Affected deployments 是 Base / BNB。
Ethereum SAND 与 Polygon SAND 不属于 compromised deployment。
Compensation 也不是通过无限 mint replacement supply 来处理。
Eligibility 看的是 Pre-Exploit Snapshot
Base
- Block 50,283,188
- 2026-08-21 23:42:03 UTC
BNB Smart Chain
- Block 117,322,025
- 2026-08-21 11:42:44 UTC
Eligibility 被 snapshot 固定。
Snapshot 以后用户：
- 卖掉；
- transfer；
- balance 改变；
不会自动消除 snapshot entitlement。
Compensation 怎么发？
Eligible user 获得：
1 eligible affected SAND → 1 SAND on Ethereum
属于 treasury-funded compensation。
Self-Custody 和 CEX User 不一样
Self-custody user 使用 official claim flow。
CEX-held SAND 由 The Sandbox 与相关 exchange 直接 coordinate。
所以 CEX user 不应该因为看到 self-custody claim page 就随意用其他 wallet 操作。
Legit Claim 不应该要求什么？
正规 flow 据公开说明只需要 original eligible wallet 发起一个 transaction。
不应该要求：
- token approval；
- off-chain message signing；
- transfer funds；
- recovery fee。
这几点非常关键，因为 compensation period 一定会产生 phishing copycat。
9 月 22 日以后怎么办？
Standard claim portal 16:00 UTC 关闭。
Late claimant 可以到：
10 月底
之前联系 project，case-by-case review。
所以准确说法是：
- Standard deadline 是 hard deadline；
- underlying entitlement 不一定在该秒自动消失；
- late path 更 manual、更不确定。
Vulnerable Contracts 已 Retire
旧 Base / BNB bridge deployment 已退役。
后续 bridging 会使用新 contract。
旧 chain 上还能看到 token balance，不代表旧 redemption route 仍然正常。
为什么 Snapshot Model 值得关注？
Bridge exploit compensation 最难的问题之一是：
谁是真正应该赔的人？
Snapshot 可以避免 post-exploit trading 导致 claim 混乱。
优点：
- on-chain objective；
- 不用提交 trade loss proof；
- 避免 race；
- 不额外 dilution。
风险：
- miss deadline；
- old wallet inaccessible；
- CEX reconciliation；
- phishing；
- ownership dispute。
Evidence Status
Project-Reported / Current Coverage
Sep. 8–22 claim、16:00 UTC closing、1:1 ETH SAND、snapshot、CEX separate handling、late review、old bridge retired。
Security / Incident Analysis
~14.742M SAND、~$697K direct value、~$1.5M wider economic estimate、unbacked mint mechanism。
Developing
Total claimed、unclaimed amount、CEX distribution、late approval rate、final treasury cost。
Risk Assessment
Medium recovery / user-access risk。
Active exploit 已 contain，但 recovery value 仍可能因为 deadline / phishing / wallet access 丢失。
What to Watch Next
Claim completion、CEX compensation、late claims、final accounting、new bridge deployment、legacy SAND。
FAQ
Standard Claim 什么时候截止？
9 月 22 日 16:00 UTC。
赔什么？
1:1 Ethereum SAND。
看 current balance 吗？
不是，看 pre-exploit snapshot。
CEX 用户也自己 claim 吗？
The Sandbox 表示 exchange-held balances 由其与 CEX coordinate。
错过今天是不是没了？
不一定，late review 可到 10 月底。
正常 claim 会要求 approval / recovery fee 吗？
按当前说明不会。