샌드박스, SAND 지급 재개… 크로노스 회복 및 레저, 버그 헌터 경고

샌드박스는 8월 해킹으로 브리징된 SAND를 잃은 사용자의 보상 청구를 접수하기 시작했습니다. 

사용자를 원래 상태로 되돌리려는 이 조치는 하드웨어 지갑 제조사 레저(Ledger)와 트레저(Trezor)가 다음 파도의 버그가 방어자들이 패치할 수 있는 속도보다 더 빠르게 도착하고 있다고 경고하는 시점과 맞물려 진행되고 있습니다.

샌드박스, 청구 기간 재개

샌드박스는 이 정보를 공유했습니다. X에서 9월 8일자로, 8월 22일 해킹 이전 베이스(Base) 또는 BNB 스마트 체인(BNB Smart Chain)에서 브리징된 SAND를 보유했던 누구나 이더리움에서 SAND로 1:1 전액 환불을 청구할 수 있다고 밝혔습니다. 

개별 지갑 소유자는 프로젝트 포털을 통해 청구를 제출해야 하지만, 거래소에 토큰을 보유하고 있던 사용자는 아무것도 할 필요가 없다고 밝혔습니다.

The 샌드박스 사후 분석 크립토폴리탄(Cryptopolitan)이 보고한 바와 같이 손실된 자금 풀은 약 697,000달러였으며, 이더리움과 폴리고ンの 잔고는 손대지 않았고 이더리움 공급량은 여전히 30억 토큰을 유지하고 있습니다.

SAND는 현재 24시간 동안 2.7% 이상 상승한 약 0.041달러에 거래되고 있습니다. 그러나 2021년 11월 기록인 8.44달러에 비해 현재 가격이 크게 낮다는 점은 주목할 만합니다.

샌드박스 브리지 공격은 어떻게 발생했습니까?

사후 분석은 베이스와 BNB 스마트 체인의 SAND 토큰 계약이 브리지의 등록 애플리케이션으로 이중으로 구성되어 사용자가 추가 거래를 건너뛸 수 있도록 설정되었다고 지적했습니다. 메시징 레이어는 해당 소스에서 오는 모든 것을 샌드박스의 주문으로 읽었습니다.

공격자는 자신의 주소를 관리자로 등록하고 설정을 느슨하게 하여 단일 자가 승인으로 브리지 메시지를 승인하게 했으며, 발생하지 않은 예치금에 대해 SAND를 미ント하고, 실제 토큰을 이더리움 금고에서 역브리징했습니다. 

포렌식 분석은 금고 인출액을 14,742,341.84 SAND로, 총 경제적 손실을 약 149만 달러로 특정했습니다. 샌드박스는 8월 22일 모든 3개 체인에서 브리지를 중단했습니다. 

샌드박스 팀은 침해된 계약에 대한 통제가 “영원히 논쟁의 여지가 있다”며 브리지를 다시 열 계획이 없다고 밝혔습니다.

크로노스, 테크토닉 유출 후 회복

8월 말 해킹을 겪은 또 다른 프로젝트인 크로노스(Cronos)는 회복 과정에서 더 진전된 것으로 보입니다. 크립토닷컴과 연결된 이 체인은 8월 30일 최대 대출 시장인 테크토닉(Tectonic)에 대한 공격을 봉쇄하기 위해 블록 생산을 중단했으며, Cryptopolitan이 보고. 

공격자는 희박하게 거래되는 TONIC 토큰을 20분 동안 약 100배로 부풀린 것으로 보고됩니다. 그런 다음 그들은 가짜 가치에 대해 실제 자산을 빌렸습니다.

동결 조치가 효과를 발휘했으며, 보안 회사 페크실드(PeckShield)는 약 7,500만 달러 중 약 600만 달러만이 체인이 중단되기 전에 이더리움에 도달했다고 확인했습니다. 

크립토닷컴 CEO 크리스 마르잘렉(Kris Marszalek)은 거래소와 앱이 침해되지 않았다고 말했습니다. 크로노스는 이후 다시 온라인으로 돌아왔으며, 약 1억 2,200만 달러에서 300만 달러 미만으로 추락했던 테크토닉의 총 잠금 가치(TVL)는 1억 2,100만 달러 이상으로 회복되었습니다.

레저와 트레저, 사적 보고 촉구

플랫폼이 영향을 받은 사용자를 원래 상태로 되돌리려는 노력을 기울이는 동안, 업계에서 가장 잘 알려진 두 냉동 지갑 제조사인 레저와 트레저는 특히 취약성 공개와 관련하여 플랫폼이 직면해야 하는 일부 보안 과제를 강조했습니다.

레저의 최고 기술 책임자 찰스 길레메트(Charles Guillemet)는 AI가 취약점을 찾는 비용을 저렴하게 만들었다고 말했습니다. X(구 트위터) 게시글에서, 길레메트는 AI가 도입됨으로써 방어자들이 한때 가지고 있던 선점 효과가 사라졌다고 밝혔습니다. 

그는 일부 연구자들이 수정 사항이 존재하기 전에 발견 사항을 게시하는 사실을 지적하며, 이를 “타인의 위험을 이용한 관심 끌기”라고 불렀습니다.

공개 프로세스와 관련하여 그는 연구자들에게 사적으로 문제를 보고하고 먼저 고정된 타임라인에 합의할 것을 촉구했으며, 90일을 일반적인 기본값으로 제시했습니다. 트레저는 X에서 길레메트의 의견에 동의하며 책임 있는 공개를 강력히 지지한다고 밝혔습니다. 

트레저의 보안 책임자 얀 코마렉(Jan Komarek)은 이 문제에 대한 자신의 의견을 공유하며 “90일은 연구자뿐만 아니라 벤더의 약속입니다”라고 말했습니다. 그는 벤더가 기간을 놓치면 연구자들이 발견 사항을 게시해도 된다고 덧붙였습니다.

이러한 움직임은 콜드코어(Coldcard) 도난이 1억 달러를 넘어섰고 트레저의 배송 제공업체에서 수만 명의 고객 정보가 유출된 침해 사건 이후 이루어졌습니다.