The Sandboxは、SANDのクロスチェーンブリッジに存在した脆弱性を確認し、封じ込めたことを明らかにした。この脆弱性により、攻撃者はBaseおよびBNB Smart Chain(BSC)上で裏付けのないSANDトークンを鋳造することが可能だった。BaseはCoinbaseが支援するEthereumのレイヤー2ネットワークであり、BNB Smart ChainはBinanceが運営するEVM互換のブロックチェーンである。EthereumベースのメタバースゲームプラットフォームであるThe SandboxのネイティブトークンであるSANDは、通常、担保としてロックされ、同額が鋳造されることで初めて両チェーンに供給される。ブロックチェーンセキュリティ企業のBlockaidは、400件を超えるトランザクションにわたり、額面で約490億ドルの偽造SANDを特定した。一方、プロジェクト側は、本インシデントの影響はSANDトークン総供給量の0.01%未満だと述べている。

ブリッジ攻撃が緊急停止を引き起こす

The Sandboxによると、今回の欠陥はBSCおよびBase上のSANDを結ぶクロスチェーンブリッジのインフラに影響を与えたもので、攻撃者はブリッジ供給に通常必要とされる裏付け資産なしにSANDトークンを鋳造できたという。このようなロック・アンド・ミント方式のブリッジは、元のトークンを送信元チェーン上で保管しているため、ロックされた担保と鋳造された供給量の連携を破ることで、裏付けのない新規トークンを作成することが可能になる。

プロジェクトはX上で本インシデントを公表した:

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 (X post)

これを受けて、プロジェクトは両ネットワーク間のブリッジおよびブリッジ解除に関するすべてのアクティビティを停止した。その結果、現在BaseおよびBSC上に保持されているSANDは孤立状態にあり、ブリッジ経由で送り返すことも、影響を受けたクロスチェーン経路で償還することもできない。ブリッジの停止は標準的な封じ込め措置である。ブリッジの状態にかかわらず、裏付けのないトークンは宛先チェーン上で転送可能なままだからだ。

また、The Sandboxはトレーダーに対しても明確な警告を発し、両ネットワークの流動性状況を踏まえ、BaseおよびBSCのいずれにおいてもSANDの購入、売却、取引を行わないよう助言した。

The Sandboxは、EthereumおよびPolygonのデプロイには影響がなく、ユーザーのウォレットは侵害されておらず、有効なブリッジトークンの裏付けとなる担保であるEthereum側でロックされたSNDも無傷のまま残っていると述べた。

490億ドルという数字が示す偽トークン鋳造の規模

最大の数字を報告したのはブロックチェーンセキュリティ企業のBlockaidで、同社は400件を超えるトランザクションを通じて、額面で約490億ドルのSANDが鋳造されたことを特定した。

この数字は、プロトコルから失われた、または持ち去られた資産の価値を表すものではない。むしろ、攻撃の一環として作成された大量の裏付けのないトークンの市場価値を反映したものである。この区別は重要だ。攻撃者によって鋳造されたSANDには正当なクロスチェーン供給による準備の裏付けがなく、正規の流動性として扱うことはできない。実際のところ、裏付けのない鋳造が損なうのはロックされた準備ではなくプールされた流動性であり、偽トークンがBaseやBSCのプールに売却されれば、その犠牲となるのはプールの他方の側にいる流動性プロバイダーである。プロジェクトが計画している補償が対象とするのは、このエクスポージャーだ。

調査は進行中であり、The Sandboxは、詳細なインシデント報告書と技術的な事後検証が今後公開されると述べている。

補償計画は影響を受けた流動性プロバイダーが対象

補償計画の準備は進行中であり、インシデント前に取得されたSandboxエコシステムのスナップショットも含まれている。この計画は、Base上の選定された流動性プールにおけるBSCユーザーを対象とする。プロジェクトは、最終的な補償パッケージや提供される可能性のある総額についてはまだ公表していない。

The Sandboxは、EthereumおよびPolygon上の通常のSAND保有者が対応すべきことはないと述べた。

本インシデントは、クロスチェーンインフラをめぐるセキュリティ懸念を改めて浮き彫りにした。ブリッジはこれまでも暗号資産分野で最も被害額の大きい攻撃対象の一つであり続けている。2022年3月にはRonin Bridgeへの攻撃で6億ドル超が持ち去られ、その数週間前にはWormholeが約3億2,000万ドルの損失を被り、Chainalysisは同年の暗号資産ハッキングで盗まれた資金の約69%がブリッジ攻撃によるものと推定した。The Sandboxの当面の焦点は、影響を受けたネットワークの封じ込め、インシデントの範囲の分析、そして対象となる流動性プロバイダーへの返済であり、今後注目すべき未確定事項は、技術的な事後検証、最終的な補償条件と対象プール、そしてBaseとBSC間ブリッジの最終的な再開である。