Sandbox öffnet SAND-Auszahlungen, während Cronos sich erholt und Ledger vor Bug-Hunters warnt

The Sandbox hat begonnen, Entschädigungsansprüche von Nutzern anzunehmen, die bei einem Exploit im August verbundenes SAND verloren haben. 

Der Schritt, die Nutzer wieder in den Stand zu versetzen, kommt zur gleichen Zeit, als Hardware-Wallet-Hersteller Ledger und Trezor warnen, dass die nächste Welle von Bugs in einem Tempo auftritt, das schneller ist, als was Verteidiger patchen können.

The Sandbox öffnet das Anspruchs-Fenster erneut

Sandbox teilte die Information auf X am 8. September mit und stellte fest, dass jeder, der vor dem Exploit am 22. August verbundenes SAND auf Base oder BNB Smart Chain hielt, jetzt eine volle 1:1-Rückerstattung in SAND auf Ethereum beantragen kann. 

Es hieß, dass einzelne Wallet-Inhaber einen Antrag über das Portal des Projekts einreichen müssen, während Nutzer, die den Token auf einer Börse hielten, nichts tun müssen.

Die Sandbox Post-Mortem zeigt, dass der Pool der verlorenen Gelder, wie Cryptopolitan berichtete, bei rund 697.000 US-Dollar lag. Die Guthaben auf Ethereum und Polygon wurden nie berührt, und das Ethereum-Angebot hat immer noch 3 Milliarden Token.

SAND handelt derzeit bei rund 0,041 US-Dollar, nachdem es in den letzten 24 Stunden um über 2,7 % gestiegen ist. Es ist jedoch erwähnenswert, dass es derzeit weit von seinem Rekord im November 2021 von 8,44 US-Dollar entfernt ist.

Wie kam es zum Sandbox-Brückenangriff?

Der Post-Mortem wies die SAND-Token-Verträge auf Base und BNB Smart Chain die Schuld, die so konfiguriert waren, dass sie auch als registrierte Anwendung der Brücke dienten, damit Nutzer zusätzliche Transaktionen überspringen konnten. Die Messaging-Schicht las alles von dieser Quelle als Auftrag von The Sandbox.

Angreifer registrierten ihre eigene Adresse als Administrator, lockerten die Einstellungen, sodass eine einzige Selbstgenehmigung eine Brückennachricht freischaltete, münzten SAND gegen Einzahlungen, die nie stattfanden, und reverse-bridged echte Token aus dem Ethereum-Vault heraus. 

Forensik datierte den Vault-Abfluss auf 14.742.341,84 SAND und den gesamten wirtschaftlichen Schaden auf fast 1,49 Millionen US-Dollar. The Sandbox schloss die Brücke über alle drei Ketten am 22. August. 

Das Sandbox-Team hat ausgeschlossen, die Brücke wieder zu öffnen, da es sagt, dass die Kontrolle über die kompromittierten Verträge „für immer anfechtbar“ ist.

Cronos erholt sich nach dem Tectonic-Abfluss

Ein anderes Projekt, Cronos, das Ende August einen Exploit erlitten hat, scheint in seiner Erholung weiter fortgeschritten zu sein. Die mit Crypto.com verbundene Kette unterbrach die Blockproduktion am 30. August, um einen Angriff auf Tectonic, ihren größten Kreditmarkt, einzudämmen, als Cryptopolitan berichtete. 

ein Angreifer angeblich den dünn gehandelten TONIC-Token in 20 Minuten etwa um das 100-fache aufblähte. Sie liehen sich dann echte Vermögenswerte gegen den falschen Wert.

Die Einfrierung funktionierte, wie die Sicherheitsfirma PeckShield bestätigte: Nur etwa 6 Millionen US-Dollar von den rund 75 Millionen US-Dollar, die exponiert waren, erreichten Ethereum, bevor die Kette stoppte. 

Crypto.com-CEO Kris Marszalek sagte, die Börse und die App seien niemals kompromittiert worden. Cronos ist seitdem wieder online, und der Total Value Locked von Tectonic, der von etwa 122 Millionen US-Dollar auf unter 3 Millionen US-Dollar eingebrochen war, ist wieder auf über 121 Millionen US-Dollar gestiegen.

Ledger und Trezor drängen auf private Meldung

Während die Plattformen daran arbeiten, die betroffenen Nutzer wieder in den Stand zu versetzen, haben zwei der bekanntesten Hersteller von Cold Wallets in der Branche, Ledger und Trezor, einige der Sicherheitsherausforderungen hervorgehoben, mit denen Plattformen zu kämpfen haben, insbesondere im Hinblick auf die Offenlegung von Schwachstellen.

Charles Guillemet, Chief Technology Officer bei Ledger, sagte, dass KI Schwachstellen billig zu finden gemacht hat. In einem X-Post, erklärte Guillemet dass die Einführung von KI in den Mix den Verteidigern auch den Vorsprung genommen hat, den sie einmal hatten. 

Er wies darauf hin, dass einige Forscher Ergebnisse veröffentlichen, bevor eine Lösung existiert, was er als „Aufmerksamkeitsfarming mit dem Risiko anderer“ bezeichnete.

Bezüglich des Offenlegungsprozesses drängte er Forscher, die Probleme privat zu melden und zunächst einen festen Zeitplan zu vereinbaren, wobei er 90 Tage als gängigen Standard nannte, der je nach Schweregrad flexibel gehandhabt wird. Trezor unterstützte Guillemets Kommentare auf X und erklärte, dass sie hinter dem Prinzip der verantwortungsvollen Offenlegung fest stehen. 

Jan Komarek, Trezors Sicherheitsleiter, äußerte seine Gedanken dazu und sagte: „90 Tage sind eine Verpflichtung des Herstellers, nicht nur des Forschers.“ Er fügte hinzu, dass Forscher ihre Ergebnisse veröffentlichen können, wenn der Hersteller das Zeitfenster verpasst.

Dieser Schritt folgt auf Diebstähle bei Coldcard in Höhe von über 100 Millionen US-Dollar sowie einen Sicherheitsvorfall beim Versanddienstleister von Trezor, bei dem Zehntausende Kunden betroffen waren.