The Sandboxは、Base上で疑いのある無限増鋳エクスプロイトへの対応に追われている。権限のないアドレスがミント権限を取得し、トークンの想定供給量を大きく上回る数十億SANDを作成したためだ。

ミントは8月22日の取引序盤に急速に拡大した。初期のオンチェーン追跡では5億個を超える新規作成トークンが確認され、その後PeckShieldが報告したところでは、0xAbE0...4D22と0x638C...F296の2つのアドレスにわたって149億SANDがミントされていた。

SANDの総供給量は通常30億トークンであり、新たにミントされたBase側の残高は既存の供給量のほぼ5倍に相当する。この活動は、Ethereumメインネットのトークンではなく、SANDのBase展開で検出された。

攻撃者がSANDのミント権限を取得

この攻撃の核心は、不正なミント権限にある。0x6762...257eで始まるアドレスがBase上のSANDコントラクトの権限を取得し、通常の供給量制約なしにトークンの作成を開始した。この権限がどのように取得されたのかは公表されていない。

新規作成トークンは、その名目価値が実際の市場損失に転化する前に、利用可能な流動性またはブリッジインフラに到達する必要がある。このため、関係者はミント額を直ちに確定した損害とは捉えず、送金、ブリッジの活動、および取引所側の対応を注視している。

最新確認時点で、SANDはCoinMarketCapで約0.047ドルで取引されており、異常なミント活動が展開される中でも24時間で約12%上昇していた。この市場価格では、149億トークンの名目価値は約7億ドルに達するが、この数値は確認された盗難資金や実現可能な流動性を示すものではない。

この事件は、約40億ONEが無断で作成されたHarmonyのエクスプロイトの直後に起きた。Harmonyは、新しい供給の大部分が中央集権型取引所へ移動した後、取引所による凍結の調整を進めるとともに、開発者はパッチを準備しロールバックを検討した。

無断トークンミント、複数プロジェクトに発生

The Sandboxは今夏、トークン供給管理の侵害に直面した最新のプロジェクトとなった。WEMIXは先に、別のコントラクト所有権侵害により523万WEMIX$がミントされ、新規作成資産がその後複数のネットワーク間で移動される事案に見舞われた。

この3件は手口が異なるものの、いずれもトークン発行の管理が攻撃の中心に置かれていた。The Sandboxの事例では、当面の焦点はBaseコントラクトと、不正に供給されたトークンがブリッジ、分散型取引所、その他利用可能な流動性を持つ場へ移動できるかどうかにある。

Baseコントラクトの活動に関する調査が続く中、最新の追跡で特定された2つのアドレスは、合計149億の新規ミントSANDを保有していた。

本レポートはCrypto Adventureが最初に発表したものである。