メタバースおよびブロックチェーンゲームネットワークのSandboxは、攻撃者によるBaseおよびBNBスマートチェーン上での不正トークンミントのエクスプロイトを発見し、両ネットワークにおけるブリッジ機能を停止しました。Sandboxはトークンを隔離し、BaseとBNB上でのSAND取引の自粛をユーザーに警告しています。
攻撃者はこのエクスプロイトを利用し、最大490億ドル相当の裏付けのないトークンをブリッジしました。ただし、この数字は実際に盗まれた資金や攻撃者が使用可能な資金を示すものではなく、SANDの市場価格を基にした名目上の数値であり、流動性を大きく超える額です。
SANDトークン自体の時価総額は約1億3600万ドルとされています。運営側は影響の具体的な定義や数字の整合性については公表していませんが、エクスプロイトによる被害はSANDの総供給量30億トークンの0.01%未満、すなわち約30万トークン以下と説明しています。
ブロックチェーンセキュリティ企業Blockaidは、攻撃発生中にこのエクスプロイトを警告。攻撃者はLayerZeroの代理権限を「approveAndCall」関数経由で乗っ取り、裏付けのないSANDトークンをミントしたと指摘しました。エクスプロイトにより数十億トークンが直接奪われたわけではありませんが、400件以上のトランザクションで作成されたトークンの名目価値は約490億ドルに達しました。
一方、セキュリティ企業PeckShieldは2つのアドレスで新たに149億SANDがミントされたことを特定。これらの数字は事件の異なる段階で報告されたもので、実損害ではなく名目上の生成量を意味しています。
SandboxはBaseおよびBNBスマートチェーン間のブリッジを無効化し、両ネットワークからのSAND移動および引き出しを停止。流動性への影響から、同ネットワーク上でのSANDの取引、購入、売却を控えるようユーザーに注意を促しています。
なお、EthereumやPolygon上のSANDトークンは影響を受けておらず、ユーザーのウォレットも侵害されていません。Ethereum側でロックされているSANDはバックブリッジ用の担保として保管されています。
韓国の取引所BithumbとUpbitはセキュリティ上の懸念からSANDの入出金を一時停止しています。
Sandboxは事件発生前のスナップショットを取得済みで、流動性プールのユーザーに対する補償準備を進めているほか、今後技術的な事後解析の公開も予定しています。
SAND価格は過去24時間で0.8%程度の下落にとどまりましたが、事件公表後の日中には約10%の急落を記録しています。