Sandbox abre pagos de SAND mientras Cronos se recupera y Ledger advierte a los cazadores de errores

The Sandbox ha comenzado a aceptar reclamaciones de compensación de los usuarios que perdieron SAND puenteado en una explotación de agosto. 

El movimiento para dejar a los usuarios en condiciones de restitución llega alrededor del mismo tiempo que los fabricantes de billeteras de hardware Ledger y Trezor advierten que la próxima ola de errores está llegando a un ritmo más rápido de lo que los defensores pueden parchear.

Sandbox reabre la ventana de reclamaciones

Sandbox compartió la información en X el 8 de septiembre, afirmando que cualquiera que haya tenido SAND puenteado en Base o BNB Smart Chain antes de la explotación del 22 de agosto puede ahora presentar una solicitud de reembolso completo 1:1 pagado en SAND en Ethereum. 

Dijo que los titulares de billeteras individuales deben presentar una reclamación a través del portal del proyecto, mientras que los usuarios que tenían el token en un exchange no tienen que hacer nada.

El Análisis post-mortem de Sandbox muestra que el fondo de fondos perdidos fue de aproximadamente 697.000 dólares, según informó Cryptopolitan. Los saldos en Ethereum y Polygon nunca fueron tocados, y el suministro de Ethereum aún tiene 3.000 millones de tokens.

SAND cotiza actualmente alrededor de 0,041 dólares, habiendo subido más del 2,7% en las últimas 24 horas. Sin embargo, cabe señalar que actualmente está muy por debajo de su récord de noviembre de 2021 de 8,44 dólares.

¿Cómo ocurrió el ataque al puente de Sandbox?

El análisis post-mortem señaló los contratos del token SAND en Base y BNB Smart Chain, que habían sido configurados para funcionar también como la aplicación registrada del puente para que los usuarios pudieran omitir transacciones adicionales. La capa de mensajería leía cualquier cosa de esa fuente como una orden de The Sandbox.

Los atacantes registraron su propia dirección como administrador, aflojaron la configuración para que una sola autoaprobación aclarara un mensaje del puente, acuñaron SAND contra depósitos que nunca ocurrieron y luego puentearon inversamente los tokens reales fuera de la bóveda de Ethereum. 

La forense fijó la retirada de la bóveda en 14.742.341,84 SAND y el daño económico total cerca de 1,49 millones de dólares. The Sandbox cerró el puente en las tres cadenas el 22 de agosto. 

El equipo de The Sandbox ha descartado reabrir el puente, ya que afirma que el control sobre los contratos comprometidos es «impugnable para siempre».

Cronos se recupera tras el drenaje de Tectonic

Otro proyecto, Cronos, que sufrió una explotación a finales de agosto, parece estar más avanzado en su recuperación. La cadena vinculada a Crypto.com detuvo la producción de bloques el 30 de agosto para contener un ataque a Tectonic, su mercado de préstamos más grande, como informó Cryptopolitan. 

Según se informa, un atacante infló el token TONIC, de baja liquidez, unas 100 veces en 20 minutos. Luego, pidió préstamos con activos reales contra ese valor falso.

El congelamiento funcionó, ya que solo alrededor de 6 millones de dólares de los aproximadamente 75 millones expuestos llegaron a Ethereum antes de que la cadena se detuviera, confirmó la firma de seguridad PeckShield. 

El CEO de Crypto.com, Kris Marszalek, dijo que el exchange y la aplicación nunca fueron comprometidos. Cronos se ha vuelto a poner en línea y el valor total bloqueado (TVL) de Tectonic, que había caído de unos 122 millones a menos de 3 millones, ha subido nuevamente por encima de los 121 millones.

Ledger y Trezor presionan por informes privados

Mientras las plataformas trabajan para reparar a los usuarios afectados, dos de los fabricantes de carteras frías más conocidos de la industria, Ledger y Trezor, han destacado algunos de los desafíos de seguridad que las plataformas deben abordar, especialmente en lo que respecta a la divulgación de vulnerabilidades.

Charles Guillemet, director de tecnología de Ledger, dijo que la IA ha hecho que encontrar vulnerabilidades sea barato. En una publicación en X, Guillemet afirmó que la introducción de la IA en la mezcla también ha privado a los defensores de la ventaja inicial que tenían antes. 

Señaló el hecho de que algunos investigadores ahora publican sus hallazgos antes de que exista una solución, lo que él llamó «caza de atención con el riesgo de otros».

Sobre el proceso de divulgación, instó a los investigadores a informar los problemas de forma privada y acordar primero un plazo fijo, citando 90 días como un valor predeterminado común que se ajusta según la gravedad. Trezor apoyó los comentarios de Guillemet en X, afirmando que están firmemente a favor de la divulgación responsable. 

Jan Komarek, jefe de seguridad de Trezor, compartió sus opiniones sobre el asunto, afirmando: «Los 90 días son un compromiso del proveedor, no solo del investigador». Añadió que los investigadores pueden proceder a publicar sus hallazgos si el proveedor no cumple con el plazo.

Esta iniciativa sigue a los robos de Coldcard que superaron los 100 millones de dólares y a una brecha en el proveedor de envíos de Trezor que expuso a decenas de miles de clientes.