블록체인 메타버스 프로젝트 더 샌드박스(The Sandbox)가 SAND 크로스체인 브리지 취약점을 악용한 공격을 확인하고 Base와 BNB 스마트체인(BSC)의 브리지 기능을 중단했다.

더 샌드박스는 지난 22일(현지시간) 공식 X 계정을 통해 Base와 BNB 스마트체인에서 운영되는 SAND 브리지의 취약점을 발견했으며, 현재 문제를 완전히 통제한 상태라고 밝혔다. 더 샌드박스 공식 공지

공격자는 해당 취약점을 이용해 Base와 BNB 스마트체인에서 실제 담보가 예치되지 않은 SAND를 비정상적으로 발행한 것으로 확인됐다.

일반적인 크로스체인 브리지는 원본 체인에 토큰을 담보로 예치한 뒤 목적지 체인에서 같은 수량의 래핑 토큰을 발행한다.

하지만 이번 공격에서는 담보 예치 여부를 확인하는 과정이 우회되면서 담보가 없는 SAND가 만들어진 것으로 파악된다.

더 샌드박스는 추가적인 비정상 발행과 자산 이동을 막기 위해 Base와 BNB 스마트체인으로 들어가거나 나오는 SAND 브리지 기능을 모두 비활성화했다.

이에 따라 두 네트워크에 존재하는 SAND는 현재 다른 체인으로 이동하거나 이더리움에 예치된 원본 SAND로 상환할 수 없는 격리 상태다.

더 샌드박스는 이용자들에게 별도의 안전 공지가 나오기 전까지 Base와 BNB 스마트체인에서 SAND를 매수·매도하거나 교환하지 말라고 당부했다. 공격 과정에서 생성된 비정상 토큰이 유동성 풀에 유입되면서 해당 네트워크의 SAND 가격과 유동성이 왜곡될 수 있기 때문이다.

가상자산 지갑이나 탈중앙화거래소 화면에 SAND 잔액이 표시되더라도 해당 토큰이 정상적으로 담보된 자산인지는 별도로 확인해야 한다.

이번 사고의 영향은 Base와 BNB 스마트체인의 크로스체인 SAND에 한정된 것으로 파악됐다.

더 샌드박스는 이더리움과 폴리곤에서 유통되는 SAND는 영향을 받지 않았으며, 사용자 개인 지갑도 침해되지 않았다고 설명했다.

브리지 담보로 이더리움에 예치된 원본 SAND 역시 안전하게 보관돼 있다고 밝혔다. 따라서 이더리움과 폴리곤에서 SAND를 보유하거나 유동성을 공급하는 이용자는 별도의 조치를 취할 필요가 없다는 입장이다.

프로젝트 측은 이번 사고의 실질적인 영향이 전체 SAND 공급량의 0.01% 미만이라고 발표했다.

다만 온체인 보안업체들이 탐지한 비정상 발행량은 프로젝트가 밝힌 실질 피해 규모와 큰 차이를 보인다.

펙실드(PeckShield)는 공격 관련 주소 두 곳에서 약 149억개의 SAND가 발행된 정황을 포착했다고 밝혔다.

블록체인 보안업체 블록에이드(Blockaid)는 약 400건 이상의 거래를 통해 액면가 기준 490억달러 상당의 SAND가 만들어졌다고 분석했다. 관련 보도

이 수치는 실제 시장에서 매도되거나 회수 가능한 피해액을 의미하지는 않는다. 브리지가 빠르게 중단되면서 비정상 발행된 SAND 대부분이 Base와 BNB 스마트체인에 격리됐고, 해당 네트워크의 유동성 규모도 제한적이기 때문이다.

따라서 더 샌드박스가 밝힌 ‘0.01% 미만’은 공격자가 실제로 유통하거나 유동성 풀에 영향을 준 물량을 기준으로 산정했을 가능성이 있다. 정확한 산정 방식은 후속 사고 보고서에서 확인할 필요가 있다.

더 샌드박스는 사고 발생 이전 시점의 블록체인 상태를 기록한 스냅샷을 확보했다.

프로젝트는 해당 자료를 바탕으로 Base와 BNB 스마트체인의 유동성 풀에 정상적인 SAND를 예치했다가 피해를 본 유동성공급자(LP)를 확인하고 보상안을 마련할 계획이다.

구체적인 보상 대상과 기준, 지급 규모 및 일정은 아직 공개되지 않았다. 더 샌드박스는 조사를 마친 뒤 사고 원인과 영향 범위, 복구 조치 등을 담은 상세 보고서와 기술적 사후 분석 자료를 발표할 예정이다.

이번 사고는 크로스체인 브리지의 구조적인 보안 위험을 다시 보여준다. 브리지는 서로 다른 블록체인을 연결하는 과정에서 담보 예치와 토큰 발행, 검증 권한을 동시에 관리하기 때문에 일부 검증 과정이 뚫리면 실제 담보가 없는 대규모 토큰이 발행될 수 있다.

이용자는 공식적인 복구 공지가 나오기 전까지 Base 및 BNB 스마트체인의 SAND 거래와 유동성 공급을 피하고, 가상자산 거래소의 입출금 지원 여부도 확인할 필요가 있다.