メタバースおよびブロックチェーンゲームネットワークのSandboxは、攻撃者によるBaseおよびBNBスマートチェーン上で裏付けのないトークンが不正にミントされるエクスプロイトを発見し、両ネットワークのブリッジ機能を停止しました。Sandboxはトークンを隔離し、BaseとBNBでのSAND取引の自粛をユーザーに呼びかけています。今回の影響はSANDの供給量の0.01％未満に留まると説明しています。
攻撃者は同エクスプロイトを利用し、最大で490億ドル相当の裏付けのないトークンをブリッジしました。ただし、この数字は実際に盗まれた資金や攻撃者が保有する資金を示すものではなく、市場価格を裏付けなしに生成されたトークンに適用した際の名目価値であり、流動性を大幅に超過しています。SANDの時価総額は約1億3600万ドルとされています。
運営側はエクスプロイトの影響度や数字の整合性について詳しい説明をしていませんが、被害は30億トークンの供給量の0.01％未満、つまり約30万トークン未満に相当すると述べています。
ブロックチェーンセキュリティ企業Blockaidは攻撃発生時にエクスプロイトを指摘し、LayerZeroの代理権限が「approveAndCall」関数を通じて乗っ取られ、裏付けのないSANDトークンがミントされたと報告しました。攻撃で数十億トークンが直接奪われたわけではないものの、400件以上のトランザクションによりトークンの名目価値は約490億ドルに達しました。
一方、セキュリティ企業PeckShieldは二つのアドレスで149億SANDが新たにミントされたことを特定しています。これらの数字は事件の異なる段階で報告されたもので、実損ではなく名目上の生成トークン量を示しています。
SandboxはBaseおよびBNBスマートチェーン間のブリッジを停止し、両ネットワークでのSANDの移動や引き出しを不能にしました。流動性問題が生じているため、これらのネットワークでのSAND取引、購入、売却を控えるようユーザーに警告しています。
EthereumやPolygon上のSANDは影響を受けておらず、ユーザーのウォレットへの侵害も確認されていません。Ethereum側でロックされたSANDはバックブリッジ用の担保として保持されているとしています。
韓国の取引所BithumbとUpbitは、セキュリティ上の懸念からSANDの入出金を停止しています。
Sandboxは今回の事件発生前のスナップショットを取得しており、対象となる流動性プールのユーザーに対する補償準備を進めています。今後、技術的な事後解析も公表される予定です。
なお、SANDの価格は過去24時間でわずか0.8％の下落にとどまったものの、事件公表後の数時間で約10％の急落を記録しています。