1474만 SAND 유출, 더샌드박스 1대1 보상

더 샌드박스(The Sandbox)가 베이스(Base)와 BNB 체인(BNB Chain) 브리지 취약점 피해자에게 샌드(SAND)를 1대1로 보상하기로 했다. 공격으로 이더리움 금고에서 빠져나간 물량은 1474만2341.84 SAND, 약 69만7000달러(약 9억6000만원)로 집계됐다.

더 샌드박스는 27일 사후 분석에서 이번 사고가 베이스와 BNB 체인에 배포된 SAND 토큰 계약의 브리지 설정 결함에서 비롯됐다고 밝혔다. 공격자는 해당 설정을 이용해 자신을 브리지 메시지의 유일한 검증자로 등록했고, 두 네트워크에서 담보 없는 SAND를 발행했다.

이번 사고는 8월 21일 발생했다. 더 샌드박스는 8월 22일 영향을 받은 체인의 계약 수준 브리지를 중단해 남은 무담보 SAND의 이동을 차단했다고 설명했다.

공격자는 무담보 SAND를 발행한 뒤 베이스의 탈중앙화거래소에서 일부를 매도했다. 또 위조된 브리지 메시지를 이용해 무담보 SAND를 소각하고 이더리움 금고의 실제 담보를 인출한 것으로 조사됐다.

AB미디어는 공격자가 베이스에서 무담보 토큰을 팔아 약 327.59 WETH를 현금화했다고 보도했다. 조사 과정에서는 제3자 차익거래 봇이 무담보 SAND를 사들인 뒤 상환 절차를 마친 사례도 언급됐다.

더 샌드박스는 이번 보상을 사고 전 정상적으로 브리지된 SAND 잔액을 기준으로 진행한다. 프로젝트 금고의 이더리움 기반 SAND를 지급하며, 새 토큰은 발행하지 않는다는 방침이다.

SAND의 최대 공급량 30억개도 유지된다. 회사는 이번 보상이 신규 발행이 아니라 금고 보유분을 이용한 보완 조치라는 점을 강조했다.

피해 대상 잔액의 72% 이상은 코인베이스($COIN)와 바이낸스 두 중앙화 거래소에 있는 것으로 파악됐다. 해당 거래소 이용자는 각 거래소를 통해 보상을 받게 된다.

개인 지갑 등 나머지 적격 보유자는 사후 분석 공개일로부터 2주 안에 열릴 전용 청구 페이지에서 신청할 수 있다. 청구 기간은 개설 뒤 2주간 운영된다.

브리지는 서로 다른 블록체인에 있는 자산 이동을 연결하는 장치다. 통상 한 체인에서 자산을 잠그고 다른 체인에서 대응 토큰을 발행하는 구조로 작동하기 때문에, 검증 설정이 잘못되면 담보 없는 토큰 발행으로 이어질 수 있다.

이번 사고에서도 핵심은 무담보 SAND 발행 자체보다 이더리움 금고에서 실제 담보가 빠져나간 규모다. 더 샌드박스는 담보 없이 발행된 SAND가 이더리움 금고에서 상환받거나 공식 브리지로 이동할 수 없는 상태라고 밝혔다.

더 샌드박스는 영향을 받은 기존 브리지 계약을 영구 중단한다. 향후 베이스와 BNB 체인 브리지를 다시 열 경우 새 계약을 배포하기로 했다.

이더리움과 폴리곤(POL) 기반 SAND는 이번 경로의 영향을 받지 않았다. 더 샌드박스는 공식 키도 유출되지 않았다고 설명했다.

국내에서는 앞서 업비트가 SAND 보안 이슈로 입출금 중단과 거래 유의를 공지한 바 있다. 당시 더 샌드박스는 베이스와 BNB 스마트체인 SAND 크로스체인 브리지 취약점을 차단했다고 설명했다.

이번 사안은 본지의 앞선 더 샌드박스 보상안 예고 보도 이후 피해 규모와 보상 방식이 구체화된 후속 조치다. 더 샌드박스는 공격자 지갑을 TRM랩스(TRM Labs)와 체이널리시스(Chainalysis)에 신고하고, 중앙화 거래소와 협의해 영향을 받은 네트워크의 입출금을 막았다고 밝혔다.