「サンドボックス・ブリッジ」ハッキングで149億SANDが生成される一方、コインベースは先物取引の上場廃止を決定

BaseおよびBSCブリッジを狙った攻撃

SANDトークンを発行するメタバースゲームプラットフォーム「The Sandbox」の、BaseおよびBNB Smart Chain（BSC）上のクロスチェーンブリッジに脆弱性が存在していました。攻撃者はブリッジのミント機能を悪用し、両ネットワーク上で実体のないSANDトークンを生成しました。 ザ・サンドボックスは脆弱性が検出されるとすぐにBaseとBSCのブリッジ機能を停止し、攻撃者が偽造トークンをさらに移動させることを阻止しました。

通常、サンドボックスのブリッジ・インフラは、あるチェーン（通常はイーサリアム）上でSANDをロックし、宛先ネットワーク上で同等の完全に裏付けされた量のトークンを鋳造することで機能します。今回のインシデントでは、この1対1の裏付けモデルが機能せず、ソースチェーン上で対応するロックが行われないまま、BaseおよびBSC上でトークンが鋳造される事態を招きました。

149億トークンに及ぶ異常

Peckshieldは、このエクスプロイトに関連する2つのアドレスを通じて、裏付けのないSANDが約149億枚鋳造されたことを特定しました。SANDの正当な総供給量は30億トークンに上限が設定されていることを考慮すると、この数値の規模は際立っています。つまり、鋳造された量は、これまでに存在した、あるいは今後存在するすべての正規のSANDトークンの総量のほぼ5倍に相当します。

こうした不一致は、攻撃者が実際にロックされた担保を盗むのではなく、スマートコントラクトのミント機能を操作するブリッジ攻撃ではよくある現象です。 同様のミント機能悪用攻撃は今年に入り他のプロトコルでも発生しています。2026年初頭にはPolkadotのブリッジで攻撃者が10億枚の不正なDOTトークンを鋳造したブリッジ攻撃や、Alephiumブリッジで裏付けのないALPHトークンが約1,376万枚生成された小規模なインシデントなどが報告されています。

いずれの場合も、偽造トークンには実質的な価値がなく、影響を受けたチェーンが攻撃対象となったコントラクトを凍結すれば影響は解消されます。

The Sandboxによると、このインシデントでリスクにさらされた実際の担保はSAND総供給量の0.01％未満でした。イーサリアムやPolygon上に保有されていたSAND、エコシステム全体のユーザーウォレット、およびトークンを裏付けるイーサリアムにロックされた資産は、この悪用期間を通じて一切影響を受けませんでした。

同社は現在、無担保鋳造の影響を受けたポジションを保有していた対象となる流動性プロバイダー向けの補償計画を策定中で、ブリッジが復旧するまではBaseやBSC上でSANDを取引しないようユーザーに勧告しています。

より広範なブリッジのセキュリティ問題の一端

今年上半期、暗号資産業界全体でブリッジを狙った攻撃による損失額は3億2,000万ドルを超えました。これは、攻撃者が個々のプロトコルではなく、異なるブロックチェーンをつなぐスマートコントラクトを標的にするケースが増えているためです。 Bitcoin.com Newsはここ数カ月の同様の傾向を追跡しており、その一例として、ハッカーが540万ドルを流出させ、Binanceを経由して資金を転送した後、行方をくらました「Gravity Bridge」のエクスプロイト事件が挙げられる。

さらに、SANDは今回の攻撃とは別にすでに圧力に直面していた点も言及しておく価値があります。今週時点でトークン価格は0.039ドル近辺で取引されており、Coinbaseはデリバティブ市場全体の取引高と流動性に関する包括的な見直しの一環として、8月26日付でSANDを含む10種類の永久先物契約の上場廃止を発表しました。

その時点で未決済ポジションは自動的に清算されるため、ブリッジのインシデントに加えて短期的な価格変動要因が一つ加わることになります。The Sandboxの次のステップは、ブリッジのミント制御がなぜ機能しなかったのかについての事後分析を行い、BaseおよびBSC間のブリッジ機能を再開する前にセキュリティ監査を実施することです。