- The Sandboxは、8月の攻撃でブリッジされたSANDを失ったユーザーの請求を再開しました。
- Cronosは、7,500万ドル規模のTectonic攻撃を封じ込めるためにチェーンを停止した後、回復しました。
- LedgerとTrezorは、公開前にセキュリティ研究者に脆弱性を私的に報告するよう呼びかけています。
ザ・サンボックは、8月の攻撃でブリッジされたSANDを損失したユーザーからの補償請求の受け付けを開始した。
ユーザーへの補完措置は、ハードウェアウォレットメーカーのLedgerとTrezorが、次の波のバグが防御者がパッチを当てられる速度よりも速いペースで到来していると警告しているのとほぼ同時に実施される。
ザ・サンボックは請求期間を再開
ザ・サンボックは X上 9月8日に情報を共有し、8月22日の攻撃以前にBaseまたはBNB Smart ChainでブリッジされたSANDを保有していた誰でも、イーサリアム上でSANDによる1:1の全額返還を申請できるようになると述べた。
同社は、個人ウォレット保有者はプロジェクトのポータルを通じて請求を提出する必要があるが、取引所でトークンを保有していたユーザーは何も行う必要がないと述べた。
この ザ・サンボックの事後分析 によると、Cryptopolitanの報道によれば、損失した資金プールは約69万7,000ドルであった。イーサリアムとPolygonの残高は影響を受けておらず、イーサリアムの供給量は依然として30億トークンを維持している。
SANDは現在約0.041ドルで取引されており、過去24時間で2.7%以上上昇した。ただし、2021年11月の記録的な8.44ドルから大きく下落していることに留意が必要である。
ザ・サンボックのブリッジ攻撃はどのように発生したのか？
事後分析は、BaseおよびBNB Smart Chain上のSANDトークン契約に責任を押し付け、これらがブリッジの登録アプリケーションとして二重に構成されており、ユーザーが追加のトランザクションをスキップできるようにしていたことを指摘した。メッセージングレイヤーは、そのソースからのものをザ・サンボックからの注文として読み取っていた。
攻撃者は自らのアドレスを管理者として登録し、設定を緩和して単一の自己承認でブリッジメッセージをクリアできるようにし、発生していない入金に対してSANDをミントし、その後、実際のトークンをイーサリアムの金庫からリバースブリッジで引き出した。
フォレンジック調査により、金庫からの引き出しは14,742,341.84 SANDであり、経済的損害は約149万ドルに及んだことが特定された。ザ・サンボックは8月22日に3つのチェーン全体でブリッジを停止した。
ザ・サンボックチームは、侵害された契約の制御は「永遠に争われる可能性がある」と述べており、ブリッジの再開を除外した。
Tectonicの流出後のCronosの回復
8月末に攻撃を受けた別のプロジェクト、Cronosは、回復の過程でさらに進んでいるようだ。Crypto.comにリンクされたチェーンは、最大の lending マーケットであるTectonicへの攻撃を封じ込めるため、8月30日にブロック生産を停止した。 Cryptopolitanが報告.
攻撃者は、流動性の低いTONICトークンの価格を20分で約100倍にインフレさせたと報告されている。その後、偽の価値に対して実際の資産を借り入れた。
凍結措置は機能し、露出していた約7,500万ドルのうち約600万ドルしかチェーンが停止する前にイーサリアムに到達しなかったと、セキュリティ企業のPeckShieldは確認した。
Crypto.comのCEOクリス・マルザレク氏は、取引所とアプリは侵害されなかったと述べた。Cronosはその後オンラインに戻り、Tectonicの総ロック価値（TVL）は約1億2,200万ドルから300万ドル未満まで急落していたが、1億2,100万ドルを超えて回復した。
LedgerとTrezor、非公開報告を要求
プラットフォームが影響を受けたユーザーへの補完に取り組む一方で、業界で最もよく知られた2つのコールドウォレットメーカーであるLedgerとTrezorは、特に脆弱性の開示に関連して、プラットフォームが対処しなければならないセキュリティ上の課題の一部を浮き彫りにした。
LedgerのCTOであるチャールズ・ギレメット氏は、AIにより脆弱性の発見が安価になったと述べた。X（旧Twitter）での投稿で ギレメット氏は 、AIが導入されたことで、防御者がかつて持っていたスタートの優位性が奪われたと述べた。
彼は、一部の研究者が修正が存在する前に発見結果を公開する事実を指摘し、これを「他者のリスクを用いた注目の集め方」と呼んだ。
開示プロセスについて、彼は研究者に対し、問題を私的に報告し、まず固定されたタイムラインで合意するよう促した。90日が一般的なデフォルトであり、重大度に応じて柔軟に対応できると指摘した。TrezorはX上でGuillemetのコメントに支持を示し、責任ある開示を firmly に支持していると述べた。
Trezorのセキュリティ責任者であるJan Komarekは、この問題について「90日はベンダーに対するコミットメントであり、研究者だけのものではありません」と述べた。さらに、ベンダーが期限を逃した場合、研究者は発見を公開してもよいと付け加えた。
この動きは、Coldcardの盗難が1億ドルを超え、Trezorの配送業者での侵害により数万人の顧客情報が漏洩したことに続くものである。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
誰がThe Sandboxの補償を請求できますか？
8月22日の攻撃以前にBaseまたはBNB Smart Chain上で正当にブリッジされたSANDを保有していたウォレットは、Ethereum上のSANDで1:1の返金対象となります。また、取引所を通じてトークンを保有していたユーザーは、特別な手続きを行う必要はありません。
CronosのTectonic攻撃による被害額はどれくらいですか？
攻撃者は20分間でTONICトークンの価格を約100倍に吊り上げ、それを担保に借入を行いました。これにより約7,500万ドルが露呈しましたが、PeckShieldによるとCronosがチェーンを停止する前にEthereumに残っていたのは約600万ドルのみでした。Crypto.comは、同社のアプリと取引所は無事だったと発表しています。
LedgerとTrezorはセキュリティ研究者に何を求めていますか？
LedgerのCTOであるCharles Guillemet氏とTrezorのセキュリティ責任者Jan Komárek氏は、研究者に対しバグを公開する前に privately に報告し、通常90日間の修正期限について合意することを求めています。また、ベンダーがその期間内に修正を提供しない場合にのみ、情報を公開するよう要請しています。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ハンナ・コリーモア
Hannahは、暗号通貨分野でほぼ10年にわたるブログ執筆およびイベントレポートの経験を持つライター兼編集者です。Cryptopolitanでは、ニュースページに寄稿し、DeFi、RWA（実世界資産）、暗号通貨規制、AI、フロンティアテック業界の最新の動向を報告・分析しています。アーケディア大学でビジネス経営の学位を取得しています。
