The Sandboxは、同プロジェクトがBaseブロックチェーン上に展開したSANDのクロスチェーンOFT(Omnichain Fungible Token)コントラクトが攻撃者に悪用されたことで、重大なセキュリティインシデントに直面している。この侵害により攻撃者は完全に無担保でトークンを鋳造できるようになり、同インシデントはクロスチェーンブリッジ基盤に対するセキュリティ懸念を一気に招いた。

The Sandboxはブロックチェーンを基盤とするバーチャルゲームプラットフォームであり、SANDはそのネイティブトークンである。侵害されたコントラクトが展開されていたBaseは、Coinbaseが開発したEthereumのレイヤー2ネットワークである。

オンチェーンデータによると、攻撃は継続しており、400件を超えるトランザクションによって約490億ドル相当のトークンが作成されていた。ただし、この数字はプロジェクトから盗まれた金額ではなく、生成されたトークンの価値に関わるものである。

セキュリティ企業のBlockaidは、このエクスプロイトをいち早く検知した企業の一つであり、次のように報告した。

🚨 Blockaid detected an ongoing exploit on @TheSandboxGame SAND OFT on Base. Attackers hijacked LayerZero delegate permissions via approveAndCall and minted unbacked SAND. ~$49B face-value SAND minted so far across ~400+ txs. Attack still ongoing. More details in 🧵

— Blockaid (@blockaid_), August 22, 2026 — x.com/blockaid_/status/2091016046555582891

The Sandboxハックの発生経緯

セキュリティ企業Blockaidによると、ハッカーはBaseブロックチェーン上のSANDのOFTに関連するLayerZeroの権限を侵害した。OFTは、最も広く採用されているクロスチェーンメッセージングネットワークの一つで、トークンのブロックチェーン間移動を可能にするLayerZero相互運用プロトコルと共に使用されるオムニチェーントークン標準である。宛先チェーン上の新規トークンはLayerZeroのメッセージングを通じて承認されるため、関連するデリゲート権限の管理が事実上、誰に鋳造を許すかを決定する。Blockaidによれば、今回乗っ取られたのはまさにこのアクセスである。ハッカーはapproveAndCall関数を悪用して通常のチェックを回避し、裏付けのない新規SANDを作成することができた。

一時点では既に5億SANDが鋳造されており、これはトークンの総供給量30億の約17%に相当する。

別のブロックチェーンセキュリティ企業であるPeckShieldは、ハックに関与した2つのウォレットアドレスで合計約149億SANDが作成されたと独自に報告した。一方、Blockaidは400件を超えるトランザクションで鋳造されたSANDの額を約490億ドル相当としている。

#PeckShieldAlert Seems like The @TheSandboxGame ( $SAND ) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR

— PeckShieldAlert (@PeckShieldAlert), August 22, 2026 — x.com/PeckShieldAlert/status/2091037704314339331

このエクスプロイトの規模の大きさから、新たに鋳造されたトークンがSAND市場に及ぼしうる影響への懸念が観測者の間に広がった。クロスチェーン基盤は暗号資産業界の中で繰り返し最も攻撃を受けやすい領域の一つに数えられており、2022年のRoninやWormholeといったブリッジ攻撃は、今なお記録上最大級の盗難事件として挙げられている。

The Sandboxハックの損失は限定的

頻繁に引用される490億ドルという数字は、ハッカーに盗まれた金額とみなすことはできない。この数字は、作成されたトークンの市場価値に相当するものである。

こうしたトークンの作成には十分な裏付けが存在しないため、その金額でトークンを売却することは不可能である。売却が実行されれば、SANDの価格は大幅に下落するだろう。

実際に盗まれた金額ははるかに少なかった。報道によると、ハッカーが奪ったのは約1,475万SAND、すなわち約67万5,000ドル相当のトークンであり、そこから約79.74 ETHが引き出された。

取引所のThe Sandboxハックへの対応

主要取引所のいくつかは、この異常に対処するため速やかに動いた。BithumbはSANDトークンの入出金をブロックし、Upbitは異常なオンチェーン活動について投資家に警告を発した。こうした停止措置は、裏付けのない、あるいは悪用されたトークンがオンチェーンに出現した際の標準的な保護対応であり、流動性のある場で当該トークンが他の資産に換えられるのを防ぐ。CertiKを含む複数のセキュリティ企業も、調査が進行する中でこのセキュリティ欠陥を報告した。

The Sandboxはその後、BaseおよびBNB Smart Chain上のSANDトークンのクロスチェーンブリッジが修正されたと発表した。プロジェクトは、全体への影響はSAND総供給量の0.01%未満であり、EthereumとPolygonは影響を受けていないと明らかにした。

The Sandbox team has identified and fully contained a recent vulnerability regarding the SAND cross-chain bridge on Base and BNB Smart Chain (BSC). The impact is minimal, representing less than 0.01% of the total SAND token supply. SAND tokens on Ethereum and Polygon are NOT…

— The Sandbox (@TheSandboxGame), August 22, 2026 — x.com/TheSandboxGame/status/2091063415649251821

チームはまた、ユーザーのウォレットは侵害されておらず、Ethereum上でロックされているSANDも危険にさらされていないと述べた。プロジェクトはBaseおよびBSC上のブリッジ機能を停止し、これらのネットワーク上でのSANDの購入・売却・取引を控えるようユーザーに警告した。BaseとBSCのブリッジが停止されたまま調査が続く中、LayerZeroのデリゲート権限がどのように侵害されたのかについての詳細な技術的説明は、いまだ公表されていない。

インシデントが進展する中でも、SANDの価格は上昇を続け、4.76%高の$0.04737に達し、取引量は400%以上増加した。