2026年8月22日、攻撃者はThe SandboxがBase上にデプロイしたSANDコントラクト(クロスチェーン間のトークン移動に用いられるLayerZeroのOmnichain Fungible Token(OFT)構成)において任意鋳造権限を取得した。このロック・アンド・ミント設計では、SANDはEthereum上でロックされ、同額が送信先チェーン上で鋳造されるため、すべてのクロスチェーントークンは1対1で裏付けられることを意図している。攻撃者は、プロジェクトが被害の封じ込めのためにBaseとBNB Smart Chainでのブリッジングを停止する前に、約149億枚の無裏付けSANDトークンを鋳造した。これはEthereumメインネット上の総供給量30億枚をはるかに上回る数量である。実際の損失はこれよりかなり小さく、Ethereumからは約1,475万SANDが流出し、攻撃者の利益は約675,000ドル(80 ETH)となった。EthereumおよびPolygon上のSANDは影響を受けず、ユーザーのウォレットは侵害されなかった。

⚠️ALERT: Sandbox hit by a major security breach as attackers mint 49B of unbacked $SAND, compromising its ENTIRE liquidity across BSC and Base. The team has confirmed the exploit and isolated SAND liquidity on BSC and Base, while disabling bridging to and from both networks.… pic.twitter.com/UdvHTm7wuu

— Coin Bureau (@coinbureau) August 22, 2026

オンチェーン分析によると、攻撃者は「approveAndCall」関数を悪用してLayerZeroのデリゲート権限を乗っ取った。この権限により、Ethereum上でロックされている本来のSANDによる裏付けなしに、Base上でトークンを鋳造することが可能となった。ブロックチェーンセキュリティ企業のBlockaidは、エクスプロイトの進行中にこれを検知した。PeckShieldも別途、約149億枚のSANDトークンが0xAbE0…4D22と0x638C…F296の2つのアドレスにわたって鋳造されたことを確認した。

#PeckShieldAlert Seems like The @TheSandboxGame ($SAND) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR

— PeckShieldAlert (@PeckShieldAlert) August 22, 2026

広く報じられた見出しの490億ドルという数字は、無裏付けトークンにSANDの時価を適用したものである。この数字は盗まれた資金を表すものではなく、利用可能な流動性をはるかに上回り、実現不可能である。直接的な損失はより小さかった。BlockWatchdogの報告によると、EthereumのOFTアダプターからは1分足らずで約1,475万SANDが流出し、実現した利益は約80 ETH、およそ675,000ドル相当だった。The Sandboxは、このエクスプロイトによる直接的な影響はSANDの総供給量30億枚の0.01%未満であると述べた。

The Sandboxの対応

プロジェクトはBaseとBNB Smart Chainとの間のブリッジングを無効化し、これらのネットワーク上のトークンは移動も換金もできない状態となった。プロジェクトのマルチシグウォレットはまた、EthereumおよびBNB Smart ChainのLayerZeroピアをゼロに設定し、実質的にBaseを隔離した。チームは、流動性が侵害されているため、BaseまたはBNB上のSANDを購入・売却・取引しないようユーザーに警告した。EthereumとPolygon上のSANDは影響を受けていないことが確認され、クロスチェーントークンの裏付けとしてEthereum上でロックされているSANDも無傷のままである。

韓国の取引所は、オンチェーンのアラートが侵害を検知した後、迅速に対応した。UpbitはSANDに対して投資注意報を発行し、BithumbはSANDの入出金を停止した。

2021年に9,300万ドルを調達したAnimoca Brands傘下のThe Sandboxは、プレイヤーがボクセルベースの体験を構築して収益化できるユーザー生成型のゲームメタバースであり、SANDはワールド内取引、LAND区画の購入、ステーキング、ガバナンス投票に使用されるERC-20ユーティリティトークンである。同社は、インシデント前のスナップショットを取得し、影響を受けた流動性プールの対象ユーザーに向けた補償を準備していると述べた。技術的事後検証も計画されている。執筆時点で、チームはエクスプロイトの根本原因に関する完全な公式声明を発表していない。

SANDはインシデント後、日中に一時約10%下落したが、24時間での下落率はわずか0.8%にとどまった。

このエクスプロイトは、クロスチェーントークンデプロイにおける既知の構造的リスクを浮き彫りにした。セカンダリチェーン上でトークンを鋳造してもEthereum上に新たな供給が生じるわけではないが、無裏付けトークンは取引所に到達し、価格を押し下げる可能性がある。ブリッジおよびクロスチェーンインフラは、暗号資産セキュリティ史上最大級の損失をいくつも生んできた。2022年に発生したRonin Bridgeでの約6億ドルの盗難やWormholeの約3億2,000万ドルのエクスプロイトは、記録上最大級の事例に数えられる。ただし、今回の実現利益である約675,000ドルは、これらの総額のごく一部にすぎない。今後の注目点としては、UpbitとBithumbによるSAND取引再開に関する更新情報、およびThe Sandboxの公式な回復またはバーン(焼却)計画が挙げられる。

出典:CoinCentral