Sandbox ouvre les paiements SAND alors que Cronos se rétablit et que Ledger met en garde les chercheurs de bugs

The Sandbox a commencé à accepter les demandes d'indemnisation des utilisateurs qui ont perdu du SAND bridgé lors d'une exploitation en août. 

Cette démarche pour remettre les utilisateurs dans leur état initial survient au même moment où les fabricants de portefeuilles matériels Ledger et Trezor mettent en garde en indiquant que la prochaine vague de bugs arrive à un rythme plus rapide que ce que les défenseurs peuvent corriger.

Sandbox rouvre la fenêtre de réclamation

Sandbox a partagé l'information sur X le 8 septembre, indiquant que toute personne qui détenait du SAND bridgé sur Base ou BNB Smart Chain avant l'exploitation du 22 août peut désormais déposer une demande de remboursement intégral 1:1 payé en SAND sur Ethereum. 

Il a déclaré que les détenteurs de portefeuilles individuels doivent soumettre une demande via le portail du projet, tandis que les utilisateurs qui détenaient le jeton sur une exchange n'ont rien à faire.

Le Analyse post-mortem de Sandbox montre que le pool de fonds perdu était d'environ 697 000 dollars, comme l'a rapporté Cryptopolitan. Les soldes sur Ethereum et Polygon n'ont jamais été touchés, et l'offre Ethereum compte toujours 3 milliards de jetons.

SAND négocie actuellement autour de 0,041 dollar, ayant augmenté de plus de 2,7 % au cours des dernières 24 heures. Cependant, il convient de noter qu'il est actuellement bien en dessous de son record de novembre 2021 de 8,44 dollars.

Comment l'attaque du pont Sandbox s'est-elle produite ?

L'analyse post-mortem a pointé du doigt les contrats de jetons SAND sur Base et BNB Smart Chain, qui avaient été configurés pour servir également d'application enregistrée du pont afin que les utilisateurs puissent sauter des transactions supplémentaires. La couche de messagerie lisait tout provenant de cette source comme un ordre de The Sandbox.

Les attaquants ont enregistré leur propre adresse en tant qu'administrateur, ont assoupli les paramètres de sorte qu'une auto-approbation unique a validé un message de pont, ont émis du SAND contre des dépôts qui ne se sont jamais produits, puis ont rétrobridgé de vrais jetons hors du coffre-fort Ethereum. 

Les analyses forensiques ont fixé le retrait du coffre-fort à 14 742 341,84 SAND et les dommages économiques totaux à près de 1,49 million de dollars. The Sandbox a fermé le pont sur les trois chaînes le 22 août. 

L'équipe du Sandbox a exclu la réouverture du pont, affirmant que le contrôle des contrats compromis est « contestable à jamais ».

Cronos se redresse après le détournement de Tectonic

Un autre projet, Cronos, qui a subi une exploitation à la fin du mois d'août, semble être plus avancé dans sa récupération. La chaîne liée à Crypto.com a interrompu la production de blocs le 30 août pour contenir une attaque contre Tectonic, son plus grand marché de prêt, alors que Cryptopolitan l'a rapporté. 

Selon les rapports, un attaquant a gonflé le token TONIC, peu négocié, d'un facteur 100 en 20 minutes. Ils ont ensuite emprunté de vrais actifs contre cette fausse valeur.

Le gel a fonctionné, car seulement environ 6 millions de dollars sur les 75 millions exposés ont atteint Ethereum avant que la chaîne ne s'arrête, a confirmé le cabinet de sécurité PeckShield. 

Le PDG de Crypto.com, Kris Marszalek, a déclaré que l'échange et l'application n'avaient jamais été compromis. Cronos est depuis revenu en ligne, et la valeur totale verrouillée (TVL) de Tectonic, qui était passée de 122 millions de dollars à moins de 3 millions de dollars, a grimpé au-dessus de 121 millions de dollars.

Ledger et Trezor plaident pour un signalement privé

Alors que les plateformes s'efforcent de rembourser les utilisateurs affectés, deux des fabricants de portefeuilles froids les plus connus de l'industrie, Ledger et Trezor, ont mis en lumière certains des défis de sécurité que les plateformes doivent relever, en particulier en ce qui concerne les divulgations de vulnérabilités.

Charles Guillemet, directeur technologique de Ledger, a déclaré que l'IA a rendu la recherche de vulnérabilités peu coûteuse. Dans un post sur X, Guillemet a déclaré que l'introduction de l'IA dans l'équation a également privé les défenseurs de l'avance qu'ils avaient autrefois. 

Il a souligné le fait que certains chercheurs publient désormais leurs résultats avant qu'une correction n'existe, ce qu'il a qualifié de « chasse à l'attention aux risques d'autrui ».

Concernant le processus de divulgation, il a exhorté les chercheurs à signaler les problèmes de manière privée et à convenir d'un calendrier fixe au préalable, citant 90 jours comme délai par défaut courant, qui varie selon la gravité. Trezor a soutenu les commentaires de Guillemet sur X, affirmant qu'il soutient fermement la divulgation responsable. 

Jan Komarek, responsable de la sécurité chez Trezor, a partagé son point de vue sur la question, déclarant : « C'est un engagement de 90 jours de la part du fournisseur, pas seulement de la part du chercheur. » Il a ajouté que les chercheurs peuvent publier leurs résultats si le fournisseur manque le délai.

Cette poussée fait suite aux vols de Coldcard dépassant les 100 millions de dollars et à une brèche chez le fournisseur d'expédition de Trezor qui a exposé des dizaines de milliers de clients.