The Sandbox、14.74百万SAND流出を受けBase・BNB Chainのブリッジ版SANDを1:1で補償へ

The Sandboxは8月27日公開の事後報告で、8月22日の不正アクセスによりイーサリアム上の保管庫（Vault）から14,742,341.84 SANDが流出した件を受け、BaseおよびBNB Chain上のブリッジ版SANDの適格保有者に対し、イーサリアム上のSANDで1:1補償すると発表した。補償対象は、インシデント前スナップショットで確認された正規にブリッジされた残高に限定され、無許可のミントで作成されたトークンは含まれない。 補償分は同社トレジャリーから拠出し、新規にSANDを発行しない方針。最大供給量30億SANDは維持される。適格残高の72%以上は2つの中央集権型取引所が保有しており、当該取引所が影響を受けた顧客へ直接、代替トークンを配布する見通しだ。それ以外の適格保有者向けには請求ポータルを用意し、事後報告から2週間以内の開設、開設後さらに2週間の受付を予定している。 同社によると、BaseとBNB ChainではSANDトークンコントラクトがLayerZeroのブリッジ統合も兼ねていた。設定用の関数により攻撃者がブリッジ受信メッセージの唯一の検証者として登録できる状態となり、偽のメッセージを通じて両ネットワークで裏付けのないSANDがミントされたという。 イーサリアムのVaultから流出した14.74百万SANDは、最大供給量の約0.5%に相当する。初期見積もりの「0.01%未満」から大幅に上振れしたが、同社は封じ込め初期の数時間に観測できた範囲に基づく数値だったとしている。なお、イーサリアムおよびPolygon上のSANDは影響を受けていない。 BaseとBNB Chainで追加発行された裏付けのないトークンは隔離されており、イーサリアムへブリッジできず、Vaultに対する償還もできない。両ネットワークでのブリッジ機能は引き続き停止中だ。 攻撃者資金については、The SandboxがTRM LabsとChainalysisにウォレットを通報し、盗難資金としてのタグ付けを依頼したほか、中央集権型取引所と連携して、影響を受けたネットワークでの入出金を停止したとしている。侵害されたBaseおよびBNB Chainのブリッジコントラクトは恒久的に廃止し、将来いずれかのネットワーク向けにブリッジを再開する場合は、新たにコントラクトをデプロイする必要がある。