O Sandbox inicia os pagamentos em SAND enquanto a Cronos recupera e a Ledger alerta os caçadores de bugs
- A Sandbox reabriu as queixas para os utilizadores que perderam o SAND ligado à rede durante a exploração de vulnerabilidades em agosto.
- A Cronos recuperou após interromper a sua cadeia de abastecimento para conter um ataque da Tectonic que causou prejuízos de 75 milhões de dólares.
- A Ledger e a Trezor estão a incentivar os investigadores a reportar as vulnerabilidades de forma privada antes da divulgação pública.
O Sandbox começou a aceitar pedidos de indemnização de utilizadores que perderam pacotes SAND numa vulnerabilidade explorada em agosto.
A medida para ressarcir os utilizadores está a surgir quase ao mesmo tempo que os fabricantes de carteiras de hardware Ledger e Trezor alertam que a próxima onda de bugs está a chegar a um ritmo mais acelerado do que a capacidade das equipas de segurança para os corrigir.
O ambiente de testes reabre a janela de reivindicação
A Sandbox partilhou informações sobre a X no dia 8 de setembro, afirmando que qualquer pessoa que possuísse SAND em ponte na Base ou BNB Smart Chain antes da exploração de 22 de agosto pode agora solicitar um reembolso total de 1:1 pago em SAND na Ethereum.
O comunicado informava que os titulares de carteiras individuais precisam de enviar um pedido através do portal do projeto, enquanto os utilizadores que detêm o token numa corretora não precisam de fazer nada.
A análise pós-lançamento do Sandbox mostra que o montante perdido foi de aproximadamente 697.000 dólares, conforme Cryptopolitan . Os saldos no Ethereum e no Polygon não foram afetados, e o Ethereum mantém-se nos 3 mil milhões de tokens.
Atualmente, o SAND está a ser negociado em torno de 0,041 dólares, tendo subido mais de 2,7% nas últimas 24 horas. No entanto, é de notar que está muito abaixo do seu máximo de novembro de 2021, de 8,44 dólares.
Como ocorreu o ataque à ponte Sandbox?
A análise pós-incidente apontou o dedo aostracdo token SAND nas redes Base e BNB Smart Chain, que tinham sido configurados para funcionar também como a aplicação registada da ponte, permitindo aos utilizadores evitar transações adicionais. A camada de mensagens interpretava qualquer pedido proveniente dessa origem como uma ordem do The Sandbox.
Os atacantes registaram o seu próprio endereço como administrador, afrouxaram as definições para que uma única autoaprovação aprovasse uma mensagem de ponte, cunharam SAND contra depósitos que nunca ocorreram e, em seguida, realizaram uma ponte inversa para retirar tokens reais do cofre Ethereum .
A perícia calculou o levantamento do cofre em 14.742.341,84 litros de areia e o prejuízo económico total em cerca de 1,49 milhões de dólares. O complexo Sandbox fechou a ponte que atravessa as três cadeias de minas no dia 22 de agosto.
A equipa da Sandbox afastou a reabertura da ponte, alegando que o controlo sobre ostraccomprometidos é "disputável para sempre"
Cronos recupera após o esvaziamento tectónico
Outro projeto, o Cronos, que sofreu um ataque no final de agosto, parece estar mais avançado na sua recuperação. A blockchain ligada à Crypto.com interrompeu a produção de blocos a 30 de agosto para conter um ataque à Tectonic, o seu maior mercado de empréstimos, como Cryptopolitan relata.
Segundo os relatos, um atacante inflacionou o valor do token TONIC, que tinha baixa liquidez, em cerca de 100 vezes em 20 minutos. Em seguida, contraiu empréstimos de ativos reais usando esse valor falso como garantia.
O congelamento resultou, uma vez que apenas cerca de 6 milhões de dólares dos cerca de 75 milhões de dólares expostos chegaram Ethereum antes da interrupção da rede, confirmou a empresa de segurança PeckShield.
Kris Marszalek, CEO da Crypto.com, afirmou que a exchange e a aplicação nunca foram comprometidas. A Cronos já voltou a operar e o valor total bloqueado da Tectonic, que tinha caído a pique de cerca de 122 milhões de dólares para menos de 3 milhões de dólares, voltou a subir para mais de 121 milhões de dólares.
Ledger e Trezor pressionam por reportagens privadas
Enquanto as plataformas trabalham para tentar ressarcir os utilizadores afetados, dois dos fabricantes de carteiras frias mais conhecidos do setor, a Ledger e a Trezor, destacaram alguns dos desafios de segurança que as plataformas precisam de enfrentar, especialmente quando se trata da divulgação de vulnerabilidades.
Charles Guillemet, diretor de tecnologia da Ledger, afirmou que a IA tornou as vulnerabilidades baratas de encontrar. Numa publicação no X, Guillemet declarou que a introdução da IA também eliminou a vantagem inicial que os defensores tinham anteriormente.
Criticou o facto de alguns investigadores publicarem descobertas antes de existir uma solução, a que chamou "procura de atenção à custa de outros"
Sobre o processo de divulgação, incentivou os investigadores a reportarem os problemas de forma privada e a definirem um prazo fixo inicialmente, citando 90 dias como um prazo padrão comum, que pode variar de acordo com a gravidade. A Trezor apoiou os comentários de Guillemet sobre o X, afirmando que são firmemente a favor da divulgação responsável.
Jan Komarek, responsável de segurança da Trezor, partilhou a sua opinião sobre o assunto, afirmando: "Noventa dias é um compromisso do fornecedor, não apenas do investigador". Acrescentou que os investigadores podem avançar com a publicação das suas descobertas caso o fornecedor não cumpra o prazo.
A iniciativa surge na sequência de roubos da Coldcard que ultrapassaram os 100 milhões de dólares e de uma violação de segurança no fornecedor de envios da Trezor que expôs dezenas de milhares de clientes.
Se você está lendo isto, já está um passo à frente. Continue assim assinando nossa newsletter.
Perguntas frequentes
Quem pode pedir indemnização pelo caso Sandbox?
Qualquer carteira que possuísse SAND legitimamente transferido para a Base Chain ou BNB Smart Chain antes da exploração de vulnerabilidade de 22 de agosto tem direito a um reembolso de 1:1 em SAND na Ethereum, e os utilizadores que possuíam o token através de uma exchange não precisam de tomar qualquer medida.
Qual foi o custo do ataque tectónico de Cronos?
Um atacante inflacionou o token TONIC cerca de 100 vezes em 20 minutos e contraiu empréstimos usando-o como garantia, expondo aproximadamente 75 milhões de dólares, mas a PeckShield confirmou que restavam apenas cerca de 6 milhões de dólares para Ethereum antes de a Cronos interromper a rede, e a Crypto.com afirmou que a sua aplicação e exchange não foram afetadas.
O que é que a Ledger e a Trezor estão a pedir aos investigadores de segurança que façam?
Charles Guillemet, CTO da Ledger, e Jan Komárek, chefe de segurança da Trezor, querem que os investigadores comuniquem os bugs de forma privada e concordem com um calendário de correção, geralmente de 90 dias, antes de os tornar públicos, e que publiquem a correção apenas se o fornecedor não a lançar dentro desse prazo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. CryptopolitanO não se responsabiliza por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamostrona realização de pesquisas independentesdent /ou a consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação para blogs e cobertura de eventos no universo das criptomoedas. No Cryptopolitan, Hannah contribui para a página de notícias, reportando e analisando os últimos desenvolvimentos em DeFi, RWA, regulamentação de criptomoedas, IA e tecnologias de ponta. Ela se formou em Administração de Empresas pela Universidade Arcadia.
