Sandbox apre i pagamenti SAND mentre Cronos si riprende e Ledger avverte i cacciatori di bug

The Sandbox ha iniziato ad accettare richieste di risarcimento dagli utenti che hanno perso SAND bridgato in un exploit di agosto. 

La mossa per rendere gli utenti interi sta arrivando nello stesso periodo in cui i produttori di wallet hardware Ledger e Trezor avvertono che la prossima ondata di bug sta arrivando a un ritmo più veloce di quanto i difensori possano patchare.

The Sandbox riapre la finestra delle richieste

Sandbox ha condiviso le informazioni su X l'8 settembre, affermando che chiunque abbia detenuto SAND bridgato su Base o BNB Smart Chain prima dell'exploit del 22 agosto può ora presentare una richiesta per un rimborso completo 1:1 pagato in SAND su Ethereum. 

Ha detto che i singoli titolari di wallet devono presentare una richiesta attraverso il portale del progetto, mentre gli utenti che detenevano il token su uno scambio non devono fare nulla.

Il Post-mortem di Sandbox mostra che il fondo di fondi persi era di circa 697.000 dollari, come ha riportato Cryptopolitan. I saldi su Ethereum e Polygon non sono mai stati toccati, e l'offerta di Ethereum ha ancora 3 miliardi di token.

SAND attualmente scambia intorno a 0,041 dollari, essendo salito di oltre il 2,7% nelle ultime 24 ore. Tuttavia, vale la pena notare che è attualmente ben lontano dal suo record di novembre 2021 di 8,44 dollari.

Come si è verificato l'attacco al bridge di Sandbox?

Il post-mortem ha puntato il dito contro i contratti del token SAND su Base e BNB Smart Chain, che erano stati configurati per funzionare anche come applicazione registrata del bridge in modo che gli utenti potessero saltare transazioni extra. Lo strato di messaggistica leggeva qualsiasi cosa da quella fonte come un ordine da The Sandbox.

Gli attaccanti hanno registrato il proprio indirizzo come amministratore, hanno allentato le impostazioni in modo che un singolo auto-approvazione chiarisse un messaggio del bridge, hanno coniato SAND contro depositi che non sono mai avvenuti, e poi hanno reverse-bridged token reali fuori dal vault di Ethereum. 

Le forensics hanno fissato il prelievo dal vault a 14.742.341,84 SAND e il danno economico totale vicino a 1,49 milioni di dollari. The Sandbox ha chiuso il bridge su tutte e tre le catene il 22 agosto. 

Il team di The Sandbox ha escluso la riapertura del bridge, affermando che il controllo sui contratti compromessi è «contestabile per sempre».

Cronos si riprende dopo il drenaggio di Tectonic

Un altro progetto, Cronos, che ha subito un exploit verso la fine di agosto, sembra essere più avanti nel suo recupero. La catena collegata a Crypto.com ha interrotto la produzione di blocchi il 30 agosto per contenere un attacco a Tectonic, il suo principale mercato di lending, come riportato da Cryptopolitan. 

Si è riportato che un attaccante ha gonfiato il token TONIC, poco scambiato, di circa 100 volte in 20 minuti. Successivamente ha preso in prestito asset reali contro il valore fittizio.

Il congelamento ha funzionato, poiché solo circa 6 milioni di dollari su circa 75 milioni esposti sono arrivati su Ethereum prima che la catena si fermasse, ha confermato la società di sicurezza PeckShield. 

Il CEO di Crypto.com, Kris Marszalek, ha dichiarato che lo scambio e l'app non sono mai stati compromessi. Cronos è tornato online e il valore totale bloccato (TVL) di Tectonic, che era crollato da circa 122 milioni a meno di 3 milioni, è risalito sopra i 121 milioni.

Ledger e Trezor chiedono una segnalazione privata

Mentre le piattaforme si stanno impegnando per risarcire gli utenti colpiti, due dei produttori di cold wallet più noti del settore, Ledger e Trezor, hanno evidenziato alcune delle sfide di sicurezza che le piattaforme devono affrontare, in particolare per quanto riguarda la divulgazione delle vulnerabilità.

Charles Guillemet, chief technology officer di Ledger, ha dichiarato che l'IA ha reso la scoperta delle vulnerabilità economica. In un post su X, Guillemet ha affermato che l'introduzione dell'IA ha anche privato i difensori del vantaggio iniziale che avevano una volta. 

Ha sottolineato il fatto che alcuni ricercatori pubblicano ora i risultati prima che esista una correzione, definendolo «caccia all'attenzione con il rischio altrui».

Riguardo al processo di divulgazione, ha esortato i ricercatori a segnalare i problemi in privato e a concordare prima una timeline fissa, citando 90 giorni come default comune che varia in base alla gravità. Trezor ha sostenuto le dichiarazioni di Guillemet su X, affermando di essere fermamente a favore della divulgazione responsabile. 

Jan Komarek, capo della sicurezza di Trezor, ha condiviso il suo pensiero sulla questione, affermando: «Novanta giorni sono un impegno del fornitore, non solo del ricercatore». Ha aggiunto che i ricercatori possono procedere alla pubblicazione dei loro risultati se il fornitore non rispetta la scadenza.

Questa spinta segue i furti di Coldcard che hanno superato i 100 milioni di dollari e una violazione presso il fornitore di spedizioni di Trezor che ha esposto decine di migliaia di clienti.