The SandboxのSANDブリッジ攻撃を解説：490億ドルの「発行額」は盗難額ではない

ここでいう「額面価値」とは、発行数量にその時点の市場価格を掛けた数字です。大量に新規発行されたトークンを、すべて同じ価格で売却できることを示すものではありません。

新たに作られたトークンは、表示上は巨額の価値を持っていても、その数量を受け止められるだけの流動性がない場合があります。今回も、攻撃の検知後にブリッジが停止され、取引所による入出庫制限や流動性の分断、市場の信頼低下が生じたため、実際に換金できる金額は額面価値を大きく下回る可能性があります。

別のオンチェーン分析では、攻撃者が管理するとみられるアドレスに約149億SANDが存在したとの指摘もありました。また、実際に売却・交換などを通じて引き出された資産は、これよりはるかに少ないとの推計も報じられています。

これらは、発行された総量、攻撃者のウォレット残高、実現した、または実現可能とみられる収益という異なる指標です。したがって、同じ「被害額」として単純に足し合わせたり、置き換えたりすることはできません。現時点で、最終的な流出額を独立に検証した単一の確定値は示されていません。

安全な整理は、不正発行は名目上きわめて大規模だったが、経済的損失は490億ドルを大幅に下回るというものです。

The Sandboxとセキュリティ企業の見積もりが食い違う理由

The Sandboxは、直接的な影響がSANDの総供給量30億枚の0.01％未満だったと説明しました。一方、Blockaidなどのセキュリティ企業やオンチェーン分析会社は、不正に発行された数量や攻撃者のアドレスに集まった残高を強調しています。

両者は、必ずしも同じものを測っているわけではありません。

• The Sandboxの見積もり：プロジェクトが判断する直接的、または実現可能な影響
• Blockaidの見積もり：攻撃中に発行された、裏付けのないトークンの額面価値
• オンチェーン残高の推計：攻撃者に関連するとみられるアドレスで確認されたトークン数量
• 実現損失の推計：売却、交換、他の資産の引き出しに使われた数量を基にした損失

The Sandboxが事後分析（ポストモーテム）と詳細な資金の հաշվ定を公表するまでは、これらを一つの合意済み損害額として扱うべきではありません。現時点では、同じ事件を異なる角度から測った複数の数字と見るのが適切です。

The Sandboxはどのように攻撃を封じ込めたのか

The Sandboxは脆弱性を修正・封じ込め、影響を受けたクロスチェーンブリッジ経由の移転をブロックしました。BaseおよびBNB Smart Chainに関係するブリッジ機能は停止され、EthereumとPolygon上のSANDは影響を受けていないとされています。

また、影響を受けた流動性ポジションのスナップショットを取得し、対象となる流動性提供者（LP）への対応を行うほか、詳細なポストモーテムを公開する方針を示しました。

ただし、報道時点では、補償の対象者、適格条件、支払額などの最終ルールは公表されていません。ブリッジを停止することは、同じ攻撃経路の再利用を防ぐ措置です。一方で、すでに発行されたトークンの扱いや、LPが被った損失を自動的に解決するものではありません。

取引所の対応とSAND価格の動き

この事件を受け、韓国の暗号資産取引所も予防的な措置を取りました。BithumbはSANDの入出庫を停止し、Upbitは異常なオンチェーン活動と価格変動の可能性を理由に、投資家へ取引上の注意を呼びかけました。

一部の報道では、SAND価格は事件中に急落するというより、比較的底堅く推移したとされています。しかし、短期的に価格が崩れなかったことだけで、経済的な被害が小さいと判断することはできません。入出庫制限や限定的な流動性によって価格発見が遅れる場合があり、最終的な影響は不正発行トークンや関連プールをどう処理するかにも左右されます。

KelpDAOのLayerZero事件と同じ攻撃なのか

The Sandboxの事件と、2026年4月18日に起きたKelpDAOの事件は、どちらもLayerZeroを利用したクロスチェーンシステムに関係しています。ただし、報告された故障の経路は異なります。

KelpDAOでは、LayerZeroの分散検証ネットワーク（DVN）に関係するインフラが侵害され、単一の検証者に依存する構成が悪用されました。その結果、偽造されたクロスチェーンメッセージが受け入れられ、約11万6,500枚のrsETH、当時の評価額で約2億9,200万ドル相当がブリッジから放出されました。LayerZeroは、この事件がKelpDAOのrsETH構成に限定されたものだと説明しています。

これに対してSAND事件の中心にあったのは、スマートコントラクトの委任権限と、approveAndCallを利用した不正なトークン発行です。つまり、両事件は同一のLayerZeroプロトコルバグによるものだとする証拠はありません。

両事件が示しているのは、クロスチェーンシステムにおける異なるリスクです。KelpDAOではメッセージ検証を支えるインフラと構成が問題になり、SANDではコントラクトの権限設計と発行機能へのアクセスが問題になりました。

ブリッジ利用者と開発者が押さえるべきこと

今回の報道を読むうえで最も重要なのは、次の3つを区別することです。

1. 発行されたトークンの数量
2. 攻撃者が保有するトークンの残高
3. 実際に売却・交換され、他の資産として引き出された価値

ブリッジの不具合によって名目上の供給量が膨らんでも、攻撃者が同額の資産を取得できるとは限りません。逆に、発行量が比較的小さく見える事件でも、流動性提供者の資金や市場の信頼を損なう可能性があります。

利用者は、どのチェーンとコントラクトが影響を受けたのか、入出庫が停止中か、補償や復旧の条件が公開されているかを確認する必要があります。開発者にとっては、メッセージ検証層だけでなく、委任された権限、特権的なミント経路、チェーン間の認可境界を一つひとつ点検する必要性を示す事件となりました。