The Sandbox, 브리지 해킹 유출 1,474만 SAND에 대해 1:1 상환 약속

트레저리에서 1:1 전액 보상

The Sandbox가 지난주 브리지 프로토콜 해킹으로 약 70만 달러가 유출된 사건에 대해, 자격을 갖춘 모든 SAND 보유자에게 전액을 보상하겠다고 공식 약속했다. 이더리움 기반 NFT 랜드 소유 게임을 운영하는 팀은 목요일 공식 X 계정에 올린 포스트모템에서, 8월 21일 공격 이전에 Base 또는 BNB 스마트 체인에서 합법적으로 브리지된 SAND를 보유했던 사용자에게 동일 수량의 이더리움 네이티브 SAND를 지급하겠다고 밝혔다. 지급 재원은 The Sandbox 트레저리가 직접 부담하며, 부족분을 메우기 위해 새 토큰을 발행하지 않는다. 고정된 30억 개 발행 상한의 희석을 걱정하는 보유자에게 이 점은 결코 사소한 디테일이 아니다.

클레임 접수는 앞으로 2주 안에 열리고, 이후 추가로 2주간 유지된다. 눈에 띄는 단순화도 있다. 최고 암호화폐 거래소 가이드가 추적하는 거래소 중 두 곳인 중앙화 거래소가 자격 보유량의 72% 이상을 함께 보유하고 있으며, 이들 거래소가 피해 고객에게 보상을 직접 지급한다. 즉 피해자 대부분은 별도로 클레임을 제출할 필요가 없다. 반면 자신의 지갑으로 직접 브리지한 셀프 커스터디 사용자는 기한 내 클레임을 제출해야 하므로, 마감 전 Base와 BNB 체인 잔액 확인이 필수적이다. 회사는 피해 규모도 확정했다. 이더리움 볼트에서 약 1,474만 4,000 SAND — 최대 발행량의 약 0.5% — 가 유출됐으며, 이더리움과 Polygon의 핵심 토큰 컨트랙트는 손대지 않았다. 침해는 브리지 계층에 국한됐기 때문에 메타버스 경제 자체는 정상 작동을 이어간다.

339조 개 가짜 토큰, 완전 봉쇄

포스트모템이 인용한 온체인 증거로 재구성한 공격 방식은 암호학적 해킹이 아닌 설정 실수였음을 보여준다. SAND의 Base와 BNB 체인 컨트랙트 설정 결함으로 공격자가 들어오는 브리지 메시지의 유일한 검증자를 자신으로 임명할 수 있었다. 사실상 모르는 사람에게 모든 입금 승인 권한을 넘겨준 셈이다. 이 권한을 손에 넣은 공격자는 담보 없는 SAND를 마음대로 발행했다. 두 네트워크에서 339조 개 이상의 위조 토큰이 생성됐지만, 서류상으로는 종말처럼 보이는 이 숫자는 완전히 봉쇄됐다. 불법 발행분은 격리된 상태로 이더리움으로 브리지하거나 가치로 상환할 수 없다.

실제 손실은 발행량이 암시하는 규모와 달리 극적으로 작았다. 공격 당시 약 70만 달러어치인 약 1,474만 4,000 SAND가 이더리움 볼트에서 빠져나갔고, 팀이 개입하기 전 Base에서 5억 개 이상의 토큰이 발행된 사고 초반 경과는 우리의 기존 보도가 추적한 바 있다. 침해된 브리지 컨트랙트는 영구 폐기되며, 향후 Base 및 BNB 체인 브리징은 새로 배포된 컨트랙트로 진행된다. 시장 반응은 헤드라인에 비해 차분하다. CoinGecko 데이터 기준 SAND는 최근 0.04달러선에서 거래되며 7일간 10.4% 하락했고, 전반적인 알트코인 시장에는 뚜렷한 전염이 없었다. 투자자들은 이번 사건을 지급불능 위기가 아닌 통제된 인프라 피해로 읽고 있는 셈이다.

브리지 전례와 향후 일정

이번 사건은 익숙한 실패 유형에 부합한다. Ronin과 Nomad는 모두 검증자 권한 설정 오류로 무너졌고, 과거 브리지 침해 이후 분석가들이 지적한 패턴을 그대로 반복한 것이다. The Sandbox가 보유자에게 손실을 전가하거나 공급을 하드포크하는 대신 자체 트레저리로 흡수하기로 한 결정은, 과거 1억 달러 규모 브리지 해킹 이후 Harmony가 제안했던 방식과 달리 2022년 BNB 체인 브리지 해킹 처리와 유사하다. 70만 달러 유출이면 부담은 감당 가능한 수준이며, 남은 쟁점은 트레저리가 지급을 완료할 만큼의 유동성 SAND를 보유하고 있는지 여부다. SAND 현물가는 최근 24시간 동안 추가로 3.7% 하락했고, 시장은 아직 깨끗한 해결 국면을 가격에 반영하지 못하고 있다.