Sandbox abre los pagos de SAND mientras Cronos se recupera y Ledger advierte a los cazadores de errores

Sandbox ha comenzado a aceptar reclamaciones de indemnización de los usuarios que perdieron la conexión SAND en un fallo de seguridad ocurrido en agosto. 

La iniciativa para compensar a los usuarios llega casi al mismo tiempo que los fabricantes de monederos de hardware Ledger y Trezor advierten de que la próxima oleada de errores está llegando a un ritmo más rápido del que los defensores pueden solucionar.

El entorno de pruebas vuelve a abrir el plazo para presentar reclamaciones

Sandbox compartió la información en X el 8 de septiembre, indicando que cualquier persona que tuviera SAND puenteado en Base o BNB Smart Chain antes del exploit del 22 de agosto ahora puede solicitar un reembolso completo 1:1 pagado en SAND en Ethereum. 

Se indicó que los titulares de monederos individuales deben presentar una reclamación a través del portal del proyecto, mientras que los usuarios que poseían el token en una plataforma de intercambio no tienen que hacer nada.

El análisis posterior al incidente de Sandbox revela que la cantidad de fondos perdidos ascendía a unos 697.000 dólares, según Cryptopolitan . Los saldos en Ethereum y Polygon permanecieron intactos, y la Ethereum aún cuenta con 3.000 millones de tokens.

Actualmente, SAND cotiza en torno a los 0,041 dólares, tras haber subido más de un 2,7 % en las últimas 24 horas. Sin embargo, cabe destacar que se encuentra muy por debajo de su máximo histórico de 8,44 dólares alcanzado en noviembre de 2021.

¿Cómo se produjo el ataque al puente de Sandbox?

El análisis posterior al incidente señaló como culpables lostracdel token SAND en Base y BNB Smart Chain, que habían sido configurados para funcionar también como la aplicación registrada del puente, permitiendo así a los usuarios omitir transacciones adicionales. La capa de mensajería interpretaba cualquier comunicación proveniente de esa fuente como una orden de The Sandbox.

Los atacantes registraron su propia dirección como administrador, flexibilizaron la configuración para que una sola autoaprobación validara un mensaje puente, acuñaron SAND contra depósitos que nunca se produjeron y, a continuación, extrajeron tokens reales de la bóveda Ethereum mediante un puente inverso. 

Los análisis forenses determinaron que el botín retirado de la bóveda ascendió a 14.742.341,84 SAND y que los daños económicos totales se acercaron a los 1,49 millones de dólares. El Sandbox cerró el puente que conectaba las tres cadenas el 22 de agosto. 

El equipo de Sandbox ha descartado la reapertura del puente, ya que afirma que el control sobre lostraccomprometidos es "disputable para siempre"

Cronos se recupera tras el drenaje tectónico

Otro proyecto, Cronos, que sufrió una vulnerabilidad a finales de agosto, parece estar más avanzado en su recuperación. La cadena vinculada a Crypto.com detuvo la producción de bloques el 30 de agosto para contener un ataque a Tectonic, su mayor mercado de préstamos, según Cryptopolitan informó. 

Según los informes, un atacante infló el valor del token TONIC, que tiene poca liquidez, unas 100 veces en 20 minutos. Luego, pidió prestados activos reales utilizando ese valor ficticio como garantía.

La congelación funcionó, ya que solo unos 6 millones de dólares de los aproximadamente 75 millones expuestos llegaron a Ethereum antes de que la cadena se detuviera, según confirmó la empresa de seguridad PeckShield. 

Kris Marszalek, CEO de Crypto.com, afirmó que la plataforma de intercambio y la aplicación nunca se vieron comprometidas. Cronos ya está de nuevo en línea, y el valor total bloqueado de Tectonic, que se había desplomado de unos 122 millones de dólares a menos de 3 millones, ha vuelto a superar los 121 millones.

Ledger y Trezor presionan para obtener información privada

Mientras las plataformas trabajan para compensar a los usuarios afectados, dos de los fabricantes de monederos fríos más conocidos del sector, Ledger y Trezor, han destacado algunos de los desafíos de seguridad a los que se enfrentan las plataformas, especialmente en lo que respecta a la divulgación de vulnerabilidades.

Charles Guillemet, director de tecnología de Ledger, afirmó que la IA ha abaratado la detección de vulnerabilidades. En una publicación de X, Guillemet señaló que la incorporación de la IA también ha eliminado la ventaja inicial que tenían los defensores. 

Denunció el hecho de que algunos investigadores publican ahora sus hallazgos antes de que exista una solución, lo que calificó de "aprovechamiento de la atención a costa del riesgo ajeno"

Respecto al proceso de divulgación, instó a los investigadores a informar sobre los problemas de forma privada y a establecer primero un plazo fijo, citando 90 días como un plazo habitual que se ajusta según la gravedad. Trezor respaldó los comentarios de Guillemet sobre X, afirmando que apoyan firmemente la divulgación responsable. 

Jan Komarek, jefe de seguridad de Trezor, compartió su opinión al respecto, afirmando: "Noventa días es un compromiso del proveedor, no solo del investigador". Añadió que los investigadores pueden publicar sus hallazgos si el proveedor no cumple con el plazo.

Esta iniciativa surge tras los robos en Coldcard que superaron los 100 millones de dólares y una brecha de seguridad en el proveedor de envíos de Trezor que dejó expuestos a decenas de miles de clientes.