The Sandbox、ブリッジハックで約1,474万SAND流出—全対象ホルダーに1:1の補償を約束

財務から1:1の全額補償

EthereumベースのNFT土地所有ゲーム「The Sandbox」は、先週のブリッジプロトコルハックにより約70万ドルが流出した問題を受け、対象となるSANDホルダー全員に全額を補償すると正式に約束した。公式Xアカウントで木曜日に公開した事後検証(ポストモーテム)によれば、8月21日の攻撃以前にBaseまたはBNB Smart Chain上で正当にブリッジ済みSANDを保有していたユーザーに対し、同額のEthereumネイティブSANDが補償として支払われる。支払いはThe Sandboxの財務(トレジャリー)から直接行われ、不足分を賄うための新規トークンの発行は行われない。30億枚の固定供給上限を抱えるSANDの希釈を懸念する投資家にとって、この点は重要なdetailsだ。

請求(クレーム)手続きは2週間以内に開始され、その後さらに2週間受付が続く見込みだ。注目すべき簡素化として、私たちのおすすめ暗号資産取引所ガイドが追跡する取引所のうち2つの中央集権型取引所が、対象残高の72%超を合わせて保有しており、これらの取引プラットフォームは影響を受けた顧客に補償を直接分配する。つまり、被害者の大半は個別に請求手続きを行う必要すらない。一方、自前のウォレットでトークンをブリッジしたセルフカストディのユーザーは、この期間内に自ら請求を提出しなければならず、期限前にBaseとBNB Chain上の残高を確認することが不可欠だ。同社は被害の範囲も確定させており、最大供給量の約0.5%にあたる約1,474万4,000SANDがイベント中にEthereumの保管庫(ボールト)から引き出された。ただし、EthereumおよびPolygon上のコアトークンコントラクトは無傷で、侵害はブリッジ層にとどまるため、メタバース経済自体は通常どおり稼働している。

339兆枚の偽造トークンと封じ込め

ポストモーテムが引用したオンチェーンの証拠から再現された攻撃の仕組みは、暗号技術の破られではなく設定ミスによるものだと明らかにしている。SANDのBaseおよびBNB Chainコントラクトのセットアップに存在した欠陥により、攻撃者は自分自身をブリッジ入金メッセージの唯一の検証者(ベリファイア)に任命できた。これは機能的に見れば、見知らぬ第三者にすべてのデポジットの承認権限を渡すことに等しい。この権限を手にした攻撃者は、裏付けのないSANDを自由に鋳造した。2つのネットワーク合計で339兆枚を超える偽造トークンが作成されたが、この数字は帳面の上では壊滅的に見えても完全に封じ込められている。不正な供給は隔離されており、Ethereumへブリッジしたり価値と引き換えに償還したりすることはできない。

実際の損失は、鋳造量が示す規模よりはるかに小さい。攻撃時点で約70万ドル相当の約1,474万4,000SANDがEthereumのボールトから流出した。弊誌の先行報道は事件の最初の数時間を追跡しており、チームが介入するまでにBase上で5億枚以上のトークンが鋳造されていた。侵害されたブリッジコントラクトは今後永久に廃止され、将来のBaseおよびBNB Chain向けブリッジは新たにデプロイされたコントラクトで運用される。市場の反応は見出しの規模に比べれば落ち着いている。SANDは直近で0.04ドル付近に取引され、7日間で10.4%下落した(CoinGeckoデータ)。より広いアルトコイン市場への感染はほぼ見られず、トレーダーはこの一件を、支払い能力の危機ではなく封じ込め済みのインフラ損傷と受け止めているようだ。

ブリッジ事故の前例と今後の課題

今回のインシデントは、典型的な失敗パターンに沿っている。RoninとNomadはいずれも検証者権限の設定ミスから崩壊しており、過去のブリッジ侵害後にアナリストが指摘した構図と重なる。The Sandboxが選んだのは、損失をホルダーに転嫁したり供給をハードフォークで改変したりするのではなく、自社の財務で吸収する道だ。これは、自社の1億ドル規模のブリッジハック後に供給の書き換えを提案したHarmonyのアプローチとは対照的で、2022年のブリッジ悪用へのBNB Chainの対応と軌を一にする。70万ドルの流出であれば負担は管理可能な水準だが、財務に支払いを完遂できるだけの流動性のあるSANDが確保されているかは、依然として未解決の論点だ。SANDのスポット価格は直近24時間でさらに3.7%下落しており、市場はまだ「きれいな解決」を織り込めていない。