The SandboxのSANDトークンは、8月21日から22日にかけて大規模なクロスチェーン型エクスプロイトを受け、攻撃者は約5時間のうちにおよそ329.24兆個の裏付けのないトークンを生成した。衝撃的な見出しの数字とは裏腹に、攻撃者が実際に抽出できた実質的な経済的価値は約67万5,000ドルにとどまった。

本件は、オンチェーン上に表示されるトークン残高と、実際に償還または売却可能な資産との間のギャップを浮き彫りにしている。攻撃で生成された329兆SANDは名目上およそ490億ドルの価値に相当したが、それらのトークンの大部分には対応するリザーブが存在しなかった。

SANDエクスプロイトの経緯

攻撃者はSANDのBaseへのデプロイを標的とし、そのLayerZeroオムニチェーン構成を悪用した。LayerZeroは、Omnichain Fungible Token（OFT）アダプターを通じてトークンをチェーン間で移動させる広く利用されている相互運用性プロトコルであり、クロスチェーン操作はデリゲート権限によって管理される。調査の結果、トークンのapproveAndCall関数がLayerZeroのデリゲート権限を乗っ取るために使用されたことが判明した。

このアクセス権により、攻撃者はBase上で不正な鋳造を承認できるようになった。その結果、173のウォレットに関わる703回の鋳造イベントを通じて329.24兆SANDが生成された。

Ethereum上の正規のSAND供給量は30億トークンに制限されたままであったため、新たに生成されたBase上のトークンは実質的に裏付けがなく、Ethereumのリザーブと単純に引き換えることはできなかった。

重要なのは実際にリザーブから流出した額

見出し上の鋳造量は壊滅的に見えたが、攻撃者の実際の抽出額ははるかに小さかった。Ethereum側のOFTアダプターからは約1,475万SANDが流出し、攻撃当時約67万5,000ドル相当の約80 ETHに変換された。

これを受けてThe Sandboxは、BaseおよびBNB Smart Chainに関わるクロスチェーンのブリッジングを無効化した。入手可能なインシデント報告によれば、EthereumとPolygonのリザーブは侵害されていない。

本エクスプロイトは、スマートコントラクト攻撃の際にトークンの表面上の時価総額がいかに誤解を招きうるかを示している。正規の市場価格に大量の新規鋳造トークンの数量を掛け合わせても、その額の流動性が実際に存在するとは限らない。

クロスチェーンインフラは近年たびたび大規模な暗号資産損失の焦点となっており、本件は基盤となるトークンコントラクトそのものではなく、ブリッジやメッセージング層の構成を標的とするエクスプロイトの傾向に新たな一例を加えるものとなった。今後の注目点は、The Sandboxおよびオムニチェーントークン構成を採用する他のプロジェクトが、ブリッジングを再開する前にデリゲート権限および承認コントロールをどれほど迅速に監査・強化するかである。

The Sandboxにとって、直近の財務的損失は数十億ドル規模ではなく数十万ドル規模であった。それでもなお、本件はクロスチェーンの権限制御における深刻な脆弱性を露呈させ、トークンブリッジインフラのセキュリティに対する新たな懸念を引き起こした。