The Sandboxは、攻撃者によって裏付けのないSANDトークン490億枚が鋳造された重大なセキュリティ侵害に見舞われ、BNB Smart Chain（BSC）およびBaseにまたがるプロジェクトのSAND流動性全体が影響を受けた。X上で@coinbureauが共有した情報によると、The Sandboxチームはこのエクスプロイトを確認し、両ネットワーク上のSAND流動性を隔離する措置を講じた。また、インシデントを評価している間、BSCとBaseとの間のブリッジングを無効化している。

The Sandboxは影響を受けた流動性提供者向けの補償計画を準備しており、さらなる通知があるまでBSCまたはBase上のSANDを操作しないようユーザーに強く呼びかけている。このインシデントはSANDトークンにとって重大なセキュリティ事件であり、影響を封じ込める取り組みの中で、プロジェクトは2つのブロックチェーンネットワークにわたるアクティビティを制限する事態となった。

The SandboxはAnimoca Brandsが運営するブロックチェーンベースのバーチャルワールドで、ユーザーはLANDとして知られるデジタル土地の区画を購入・開発・収益化できる。SANDは同プラットフォームのネイティブトークンであり、ゲーム内取引、ステーキング、ガバナンス参加に使用される。このトークンは最大供給量30億枚で発行されており、報じられた490億枚の不正鋳造は、トークン全体の想定供給量の16倍を超える規模に相当する。

攻撃者が裏付けなしのSAND 490億枚を鋳造

報じられたエクスプロイトは、対応する資産による裏付けのないSANDトークン490億枚の生成を伴っていた。

鋳造（ミント）とは、トークンの基盤となるスマートコントラクトやブロックチェーンインフラが定めたルールに従って新しい暗号資産トークンを生成することを指す。適切に管理されたシステムでは、トークンの発行は不正な生成を防ぐよう設計された定義済みのメカニズムによって統制されている。

報じられた攻撃はこれらの統制を回避したとみられ、攻撃者は大量のSANDを生成できたと考えられる。

@coinbureauが共有した情報には、攻撃に使われた特定の脆弱性に関する追加の詳細や、エクスプロイトの実行責任者の特定は含まれていない。しかし、不正鋳造の報じられた規模を受けて、The Sandboxチームは影響を受けたネットワーク全体でSANDのアクティビティを制限する即時の措置を講じた。

The Sandbox、エクスプロイトを確認

The Sandboxチームはエクスプロイトが発生したことを確認し、封じ込め措置を開始した。主要な対応の一つは、BSCおよびBase上のSAND流動性の隔離である。また、プロジェクトは両ネットワークとの間のブリッジングを無効化した。

ブリッジとは、資産や情報を異なるネットワーク間で移動させることを可能にするブロックチェーンインフラである。こうした接続を無効化することで、あるネットワークで発生したインシデントがクロスチェーン転送を通じて別のネットワークへ波及するのを防ぐことができる。BSCとBaseに関わるブリッジングを制限することで、The Sandboxは侵害を調査し適切な対応を判断する間、SANDの移動を制限している。また、プロジェクトは、さらなる通知があるまで、影響を受けた2つのネットワーク上のSANDを操作しないようユーザーに助言している。

流動性提供者に潜在的な影響

このセキュリティ侵害は、LPと呼ばれることが多い流動性提供者にも影響を与えた。流動性提供者は分散型の取引プールに資産を供給し、従来の中央集権的なオーダーブックに依存せずにユーザーがトークンを取引できるようにする。見返りとして、流動性提供者はプロトコルに応じて手数料やその他のインセンティブを受け取ることができる。

The Sandboxは、報じられたエクスプロイトを受けて、影響を受けたLP向けの補償計画を準備している。入手可能な情報では、補償プールの規模、適格条件、補償の分配方法は明示されていない。これらの詳細は、インシデントが自身のポジションにどのような影響を与えるかを判断しようとする流動性提供者にとって重要だとみられる。追加情報が公表されるまで、ユーザーはプロジェクトの指示に従い、BSCとBase上のSANDを操作しないよう助言されている。

ブリッジ制限がBSCとBaseに影響

影響を受けたネットワーク間の双方向のブリッジングを無効化する決定は、The Sandboxの対応のもう一つの重要な部分である。クロスチェーンブリッジは、ユーザーがブロックチェーンエコシステム間で資産を移動できるようにする重要な機能を提供する。同時に、セキュリティインシデントの際には重要な考慮事項となり得る。というのも、制限しなければ不正な資産や侵害を受けた資産がネットワーク間で転送される可能性があるためだ。

BSCとBaseに接続されたブリッジを無効化することで、The Sandboxはそれらの経路を通じたSANDのさらなる移動を制限しようとしている。この措置は、影響を受けたネットワーク上のSANDに関わる通常のクロスチェーン機能にユーザーが一時的にアクセスできなくなる可能性も意味する。プロジェクトは、提供された情報の中で、ブリッジサービスがいつ復旧されるかについては示していない。

クロスチェーンインフラは、業界史上最大級のセキュリティインシデントのいくつかにも関わってきた。2022年3月のRonin Networkの侵害では6億ドル超の損失が生じ、2022年2月のWormholeブリッジのエクスプロイトでは約3億2000万ドルが関わっていた。The Sandboxは自社のブリッジインフラが今回のインシデントに関与したかどうかを明らかにしておらず、これまでに公表された情報では不正鋳造がどのように実行されたかは確定されていない。それでも、こうした歴史的な記録は、複数のネットワークで運用するプロジェクトがブリッジやトークン発行の統制を重要なセキュリティ対象領域として扱う理由を示している。

BSCとBase上のSANDの回避をユーザーに呼びかけ

The Sandboxは、BSCとBase上のSANDのアクティビティに関してユーザーに直接警告を発した。ユーザーには、さらなる通知があるまでどちらのネットワーク上でもSANDを操作しないよう呼びかけられている。この警告は、裏付けのない490億枚の鋳造が報じられた後では特に重要である。セキュリティインシデントの進行中に影響を受けたトークンを含む取引を行うと、特にプロジェクトチームが根本的なエクスプロイトをまだ調査している間は、ユーザーが追加のリスクにさらされる可能性があるためだ。

この制限は、プロジェクトが公表した情報に基づき、特にBSCとBase上のSANDに適用される。したがって、ユーザーは、それらのネットワーク上でSANDの取引、送金、その他の操作を試みる前に、公式の最新情報に細心の注意を払うべきである。

補償計画は依然として準備中

The Sandboxは、このインシデントの影響を受けた流動性提供者向けの補償計画を準備している。この計画は、報じられたセキュリティ侵害の後にLPが被った影響に対処することを目的としているが、具体的な詳細はまだ提供されていない。補償メカニズムに関する情報がないため、影響を受けたユーザーはプロジェクトからの追加の指針を待つ必要がある。

このインシデントは、トークン発行とクロスチェーンインフラを取り巻くセキュリティ統制の重要性も浮き彫りにしている。不正なトークン生成を許す脆弱性は、特に流動性とブリッジが複数のネットワークを接続している場合、エクスプロイトが発生した当初のブロックチェーンを超えた影響をもたらし得る。

現時点で、The Sandboxの対応は封じ込めに焦点を当てている。チームはエクスプロイトを確認し、BSCとBase上のSAND流動性を隔離し、両ネットワークとの間のブリッジングを無効化し、影響を受けたLP向けの補償の準備を開始した。また、さらなる通知があるまで、影響を受けたネットワーク上のSANDを操作しないようユーザーに要請している。今後を左右する未解決の疑問には、補償計画の規模と適格条件、ブリッジサービス復旧の時期、不正鋳造がどのように発生したかに関する調査の結果が含まれる。裏付けのないSAND 490億枚を含むと報じられた侵害は、今なお進行中のセキュリティインシデントであり、影響を受けたユーザーと流動性提供者への完全な影響と次の対応を判断するには、公式チャンネルからのさらなる情報が必要となる。