SAND 익스플로잇으로 490억 달러 상당의 토큰이 발행됐지만, 도난액은 67만 5천 달러로 제한됐다

SAND 익스플로잇은 Base의 LayerZero 기반 옴니체인 토큰 컨트랙트에서 구성 오류를 드러냈습니다. 2026년 8월 21일부터 22일까지 공격자들은 approveAndCall 함수를 사용해 위임 권한을 탈취하고, 약 5시간 동안 703건의 거래를 통해 담보가 없는 SAND 329조 2,400억 개를 발행했습니다. 가짜 토큰의 명목 가치는 거의 490억 달러에 달했지만, 유동성 제약으로 실제 실현 손실은 제한되었습니다. 공격자는 1분도 되지 않아 Ethereum OFT Adapter에서 약 1,474만~1,475만 SAND를 인출하고, 약 67만 5,000달러 상당의 80 ETH로 전환했습니다. 이전 거래 활동에는 Base의 탈중앙화 거래소에서 가짜 SAND를 판매한 내역도 포함되었습니다. Ethereum과 Polygon의 SAND, 사용자 지갑 및 프로젝트의 개인 키는 침해되지 않았습니다. The Sandbox는 Base와 BNB Chain에서 영향을 받은 브리지 컨트랙트를 비활성화하고, 멀티시그 거버넌스를 통해 LayerZero 피어 설정을 제거했으며, 기존 컨트랙트를 폐기할 예정이라고 밝혔습니다. 새 SAND를 발행하지 않고 재무 자산에서 적격 보유자에게 1:1 비율로 보상할 계획입니다. Coinbase와 Binance가 영향을 받은 잔액의 대부분을 보유하고 있어 보상을 배포할 것으로 예상되며, 개인 지갑 사용자는 전용 포털을 통해 청구해야 합니다. Upbit과 Bithumb은 SAND 전송을 중단했고, Coinbase는 SAND 무기한 선물을 상장 폐지했습니다. SAND는 장중 거의 10% 하락했지만 24시간 이내에 손실 대부분을 회복했습니다. 트레이더들은 보상 절차, 거래소 지원, 브리지 재개, 컨트랙트 감사, 유동성 및 LayerZero에서 Chainlink CCIP로의 마이그레이션 가능성을 주시해야 합니다. 이번 사건은 단기적으로 여전히 약세 촉매이며, 크로스체인 브리지의 지속적인 보안 위험을 부각합니다.