샌드박스코인 해킹 이슈, Base·BSC 무담보 SAND 발행 뒤 거래유의종목 지정
이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.
더 샌드박스(The Sandbox)는 2026년 8월 22일 SAND 크로스체인 브리지에서 취약점이 발생해 공격자가 Base와 BNB Smart Chain(BSC)에서 담보되지 않은 SAND를 발행할 수 있었다고 밝혔다. 프로젝트 측은 문제를 통제하고 두 네트워크의 브리징을 중단했지만, 국내에서는 8월 24일 샌드박스(SAND)가 거래유의종목으로 지정되는 후속 조치까지 나왔다.
확인 기준은 2026년 8월 24일 오후 7시 25분 한국시간이다. 현재 가장 중요한 점은 ‘샌드박스 코인 전체가 똑같이 해킹됐다’고 이해하면 정확하지 않다는 것이다. 더 샌드박스가 확인한 직접 대상은 Base와 BSC의 SAND 크로스체인 브리지이며, 프로젝트 측은 이더리움과 폴리곤의 SAND 및 사용자 지갑은 이번 사고의 영향을 받지 않았다고 밝혔다. 다만 국내 거래소에서는 보안사고가 아직 해소되지 않았다고 판단해 이용자가 별도로 거래 상태를 확인해야 하는 단계다.
샌드박스코인 해킹에서 실제로 발생한 일은 무엇인가
이번 사고에서 공식적으로 확인된 핵심은 공격자가 Base와 BSC에서 정상적인 담보가 없는 SAND를 발행할 수 있었다는 것이다. 더 샌드박스는 SAND 크로스체인 브리지 취약점을 확인한 뒤 두 네트워크의 브리징을 비활성화해 해당 SAND가 다른 곳으로 이동하거나 공식 브리지를 통해 상환되는 경로를 차단했다고 설명했다.
크로스체인 브리지는 서로 다른 블록체인 사이에서 자산을 이동할 때 사용하는 연결 구조다. 더 샌드박스의 설명에 따르면 브리지된 SAND는 이더리움에 잠긴 SAND를 기반으로 운용되는데, 이번에는 Base와 BSC에서 그에 대응하는 담보 없이 SAND가 만들어지는 문제가 발생했다.
사고 초기에는 온체인 보안업체와 여러 매체에서 서로 다른 규모의 발행량이 보도됐다. 그러나 발행된 무담보 SAND의 표시 수량이나 이를 시세로 환산한 액수와 실제 확정 피해액은 같은 개념이 아니다. 더 샌드박스가 공개한 공식 설명은 사고 영향이 전체 SAND 공급량의 0.01% 미만이라는 수준이며, 정확한 기술적 경위와 최종 피해 범위는 별도의 상세 사고 보고서와 기술적 사후 분석을 공개하겠다고 밝혔다.
따라서 ‘수십억 개가 발행됐으니 그만큼 실제로 탈취됐다’거나 특정 달러 금액을 확정 피해액으로 보는 것은 현재 공개된 공식 내용만으로는 뒷받침되지 않는다.
내가 가진 SAND도 위험한가
보유 중인 SAND가 어느 네트워크에 있는지부터 구분해야 한다. 더 샌드박스는 이더리움과 폴리곤의 SAND는 영향을 받지 않았고 사용자 지갑도 침해되지 않았으며, 이더리움에 잠겨 브리지된 SAND를 뒷받침하는 자산 역시 온전하다고 밝혔다.
반대로 Base 또는 BSC의 SAND에 대해서는 상황이 다르다. 프로젝트는 두 네트워크에서 브리지를 중단했으며, 해당 네트워크의 SAND 유동성이 훼손된 상태라고 설명하면서 Base와 BSC에서 SAND를 매수·매도·거래하지 말라고 안내했다.
그래서 ‘SAND를 보유하고 있다’는 사실만으로 판단하기보다 다음 순서로 확인하는 편이 정확하다.
1. 개인 지갑이라면 SAND가 Ethereum, Polygon, Base, BNB Smart Chain 중 어느 네트워크에 있는지 확인한다.
2. Base나 BSC의 SAND라면 임의로 브리징하거나 거래하려 하기보다 더 샌드박스의 후속 안내를 확인한다.
3. 국내 거래소에 보관 중이라면 개인 지갑 상황과 별개로 해당 거래소의 입출금 중단·거래유의종목 공지를 확인한다.
4. 공식 지원을 사칭한 개인 메시지나 링크로 지갑을 연결하지 않는다. 더 샌드박스는 공식 팀이 먼저 개인 메시지를 보내지 않는다고 별도로 경고했다.
이 네 가지를 구분하면 ‘내 SAND도 무조건 탈취됐나’라는 질문과 ‘현재 전송이나 거래가 제한됐나’라는 질문을 따로 판단할 수 있다.
왜 국내 거래소에서 입출금까지 막혔나
빗썸은 8월 22일 오전 11시 11분부터 SAND의 입출금을 중단했다. 당시 공지에서 보안 문제 의심 정황을 중단 사유로 밝혔고, 입출금이 멈춘 기간에도 거래 자체는 이용할 수 있다고 안내했다.
같은 날 빗썸은 더 샌드박스의 Base 체인 SAND 스마트 컨트랙트에서 비정상적인 토큰 발행 정황이 확인됐다며 별도의 유의촉구 공지를 냈다. 시세 변동성 확대 가능성도 함께 안내했다.
여기서 입출금 중단과 거래 중단은 구분해서 볼 필요가 있다. 입출금 중단은 거래소 밖으로 SAND를 보내거나 외부에서 거래소로 보내는 기능에 제한이 생겼다는 의미다. 빗썸은 8월 22일 공지에서 입출금 중단 기간에도 거래는 가능하다고 명시했다.
다만 상황은 8월 24일 한 단계 더 진행됐다.
8월 24일 거래유의종목 지정, 무엇이 달라졌나
빗썸은 2026년 8월 24일 샌드박스(SAND)를 거래유의종목으로 신규 지정했다. 지정 사유는 가상자산 지갑 또는 가상자산이 발행·전송·저장되는 분산원장 등에 원인이 밝혀지지 않거나 치유되지 않은 해킹 등 보안사고가 발생한 사실이 확인됐다는 것이다.
중요한 부분은 거래유의종목 지정이 곧바로 거래지원 종료를 뜻하지는 않는다는 점이다. 빗썸은 지정 사유가 해소되면 거래유의종목 지정이 해제될 수 있다고 공지했다.
8월 24일 오후 7시 25분 기준 해당 공지에는 SAND 입출금이 중단된 상태라고 적혀 있다. 지정 연장·해제 또는 거래지원 종료 여부와 관련한 후속 공지는 9월 28일부터 10월 2일 사이인 10월 첫째 주에 예정돼 있으며, 일정은 변경될 수 있다.
즉 현재 상황을 날짜별로 나누면 이해하기 쉽다.
8월 22일: Base에서 비정상적인 SAND 발행 정황이 확인되고 국내 거래소의 입출금 제한과 유의촉구가 시작됐다.
8월 22일 이후: 더 샌드박스는 Base·BSC 브리지 문제를 통제했다고 밝히고 두 네트워크의 브리지를 중단했다.
8월 24일: 국내 거래소에서는 문제가 완전히 해소된 상태로 판단하지 않고 샌드박스(SAND)를 거래유의종목으로 지정하는 후속 조치가 나왔다.
프로젝트가 ‘취약점을 통제했다’고 밝힌 것과 거래소가 ‘보안사고의 원인이 밝혀지지 않았거나 치유되지 않았다’며 거래유의종목으로 지정한 것은 서로 같은 의미가 아니다. 앞의 설명은 공격 경로를 차단한 프로젝트 측 대응을 말하고, 뒤의 조치는 거래소가 거래지원 관점에서 추가 확인이 필요하다고 판단한 결과다.
‘0.01% 미만’인데 왜 거래유의종목까지 지정됐나
더 샌드박스가 언급한 전체 공급량 대비 0.01% 미만이라는 수치만 보고 보안 문제가 완전히 끝났다고 판단해서는 안 된다. 이 수치는 프로젝트가 설명한 사고의 영향 범위이고, 국내 거래소의 거래유의종목 지정 여부는 별도의 거래지원 심사와 보안사고 해소 여부를 기준으로 결정된다.
이번 사건에서 특히 혼동하기 쉬운 숫자는 ‘공격 과정에서 발행됐다고 관측된 SAND 수량’, ‘그 토큰의 명목상 시가’, ‘프로젝트가 밝힌 실제 영향 범위’다. 세 수치를 하나의 피해액으로 바꾸어 해석하면 결과가 크게 달라질 수 있다.
현재 공식적으로 비교 가능한 것은 더 샌드박스가 사고 영향을 전체 공급량의 0.01% 미만이라고 밝힌 사실이다. 반면 최종 확정 손실액, 정확한 공격 과정 전체, 복구 범위는 상세 기술 보고서가 공개되기 전에는 단정하기 어렵다.
따라서 가격 움직임만 보고 보안 사고가 해결됐다고 판단하거나, 반대로 초기 온체인 발행량을 그대로 실제 손실 규모로 계산하는 방식 모두 주의가 필요하다.
앞으로 확인해야 할 것은 세 가지다
첫째는 더 샌드박스의 상세 사고 보고서와 기술적 사후 분석이다. 프로젝트는 공격 범위를 계속 조사하고 있으며 별도의 보고서를 공개하겠다고 밝혔다. 보고서가 나오면 정확한 취약점 범위와 최종 피해 판단이 지금보다 명확해질 수 있다.
둘째는 Base와 BSC 브리징 재개 여부다. 현재 확인된 공식 설명에서는 두 네트워크의 브리지가 비활성화돼 있으며 Base와 BSC의 SAND는 격리된 상태다. 프로젝트는 영향을 받은 유동성 풀의 자격을 갖춘 이용자를 위한 보상 계획도 준비한다고 밝혔다.
셋째는 국내 거래소의 거래유의종목 해제·연장 또는 거래지원 관련 후속 공지다. 특히 거래소에 SAND를 보유한 이용자에게는 해외 온체인 상황만큼이나 국내 입출금 지원 상태가 중요하다. 빗썸 기준 현재 입출금은 중단돼 있고, 거래유의종목 관련 후속 판단 일정은 10월 첫째 주로 예고돼 있다.
현재 단계에서 SAND 보유자가 가장 먼저 할 일은 가격을 예측하는 것이 아니라 보유 네트워크와 이용 중인 거래소의 입출금 상태를 확인하는 것이다. Base·BSC의 SAND는 프로젝트가 거래 자제를 안내하고 있으며, 국내 거래소 이용자는 거래유의종목 지정과 후속 공지까지 함께 확인해야 한다. 이번 사고의 최종 피해 규모와 완전한 기술적 원인은 상세 사후 보고서가 나온 뒤 다시 구분해 보는 것이 정확하다.
※ 이 글은 시장 흐름을 이해하기 위한 참고용 정보이며 특정 종목이나 자산에 대한 투자 권유가 아닙니다. 최종 판단과 투자 책임은 본인에게 있습니다.
함께 보면 좋은 글
디지털자산기본법 9월 통합안 추진, 아직 확정 아닌 이유와 여야 쟁점
트럼프 대캐나다 50% 추가 관세 3일 유예, 시행은 8월 22일로 미뤄졌다