The Sandbox nimmt begonnen, Entschädigungsansprüche von Nutzern entgegenzunehmen, die im August durch einen Exploit gebrücktes SAND verloren haben.
Die Maßnahme, um Nutzer wiederherzustellen, kommt zur gleichen Zeit, in der die Hersteller von Hardware-Wallets Ledger und Trezor warnen, dass die nächste Welle von Bugs in einem Tempo eintrifft, das schneller ist als das, was Verteidiger patchen können.
Sandbox öffnet das Antragsfenster erneut
Sandbox teilte die Informationen am 8. September auf X mit und erklärte, dass jeder, der vor dem August-22-Exploit gebrücktes SAND auf Base oder BNB Smart Chain gehalten hat, nun eine vollständige 1:1-Erstattung beantragen kann, die in SAND auf Ethereum ausgezahlt wird.
Es hieß, dass einzelne Wallet-Inhaber über das Portal des Projekts eine Forderung einreichen müssen, während Nutzer, die den Token an einer Börse hielten, nichts unternehmen müssen.
Das Post-Mortem der Sandbox zeigt, dass der verlorene Fonds-Pool bei rund 697.000 US-Dollar lag, wie Cryptopolitan berichtete. Die Guthaben auf Ethereum und Polygon wurden nie angefasst, und die Ethereum-Zirkulation hat weiterhin 3 Milliarden Tokens.
SAND wird derzeit um etwa 0,041 US-Dollar gehandelt, nachdem es in den vergangenen 24 Stunden um über 2,7 % gestiegen ist. Es ist jedoch erwähnenswert, dass es aktuell deutlich von seinem Rekord von November 2021 bei 8,44 US-Dollar entfernt ist.
Wie kam es zum Sandbox-Bridge-Angriff?
Das Post-Mortem wies auf die SAND-Token-Kontrakte auf Base und BNB Smart Chain hin, die so konfiguriert worden waren, dass sie zugleich als registrierte Anwendung der Bridge dienen sollten, damit Nutzer zusätzliche Transaktionen überspringen konnten. Die Messaging-Ebene wertete alles aus dieser Quelle als Auftrag von The Sandbox.
Angreifer registrierten ihre eigene Adresse als Administrator, lockerten die Einstellungen so, dass eine einzige Selbstfreigabe eine Bridge-Nachricht durchließ, prägen SAND gegen Einlagen, die nie stattgefunden haben, und brückten dann echte Tokens zurück aus dem Ethereum-Tresor.
Forensik-Analysen machten den Tresor-Abzug auf 14.742.341,84 SAND und einen gesamten wirtschaftlichen Schaden von nahe 1,49 Millionen US-Dollar fest. Die Sandbox schloss die Bridge über alle drei Ketten hinweg am 22. August.
Das Sandbox-Team hat eine Wiedereröffnung der Bridge ausgeschlossen, da es sagt, dass die Kontrolle über die kompromittierten Verträge „für immer strittig“ sei.
Cronos erholt sich nach dem Tectonic-Abfluss
Ein weiteres Projekt, Cronos, das Ende August von einem Exploit betroffen war, scheint in seiner Erholung weiter fortgeschritten zu sein. Die mit Crypto.com verknüpfte Kette stoppte am 30. August die Blockproduktion, um einen Angriff auf Tectonic einzudämmen – dessen größter Kreditmarkt –, wie Cryptopolitan berichtete.
Ein Angreifer soll den dünn gehandelten TONIC-Token etwa 100-mal innerhalb von 20 Minuten aufgeblasen haben. Danach liehen sie echte Vermögenswerte gegen den vorgetäuschten Wert.
Die Sperre funktionierte: Nur etwa 6 Millionen US-Dollar von den rund 75 Millionen, die offengelegt waren, erreichten Ethereum, bevor die Kette gestoppt wurde, bestätigte die Sicherheitsfirma PeckShield.
Der CEO von Crypto.com, Kris Marszalek, sagte, dass die Börse und die App nie kompromittiert wurden. Cronos ist inzwischen wieder online, und der insgesamt gesperrte Wert von Tectonic, der von etwa 122 Millionen US-Dollar auf unter 3 Millionen US-Dollar eingebrochen war, ist wieder über 121 Millionen US-Dollar gestiegen.
Ledger und Trezor fordern ein privates Reporting
Während die Plattformen daran arbeiten, betroffene Nutzer wieder vollständig zu entschädigen, haben zwei der bekanntesten Hersteller von Cold Wallets der Branche, Ledger und Trezor, einige der Sicherheitsherausforderungen hervorgehoben, mit denen Plattformen zu kämpfen haben – insbesondere wenn es um die Offenlegung von Schwachstellen geht.
Charles Guillemet, Chief Technology Officer bei Ledger, sagte, dass KI es billig gemacht habe, Schwachstellen zu finden. In einem X-Beitrag erklärte Guillemet zudem, dass die Einführung von KI in die Mischung auch die Verteidiger um den Vorsprung gebracht habe, den sie einst hatten.
Er machte darauf aufmerksam, dass einige Forschende inzwischen Ergebnisse veröffentlichen, bevor es überhaupt einen Fix gibt – etwas, das er „Attention Farming mit dem Risiko anderer“ nannte.
Beim Prozess der Offenlegung forderte er Forschende auf, die Probleme zunächst privat zu melden und sich dann zuerst auf einen festen Zeitplan zu verständigen, wobei er 90 Tage als gängige Standardvorgabe nannte, die sich mit der Schwere anpasst. Trezor unterstützte die Kommentare von Guillemet auf X und erklärte, dass sie klar hinter einer verantwortungsvollen Offenlegung stehen.
Jan Komarek, der Leiter für Sicherheit bei Trezor, teilte seine Gedanken dazu mit und sagte: „Neunzig Tage sind eine Verpflichtung des Herstellers – nicht nur der Forschenden.“ Er fügte hinzu, dass Forschende ihre Ergebnisse veröffentlichen können, wenn der Hersteller das Zeitfenster verpasst.
Der Vorstoß folgt auf Coldcard-Diebstähle, die die Marke von 100 Millionen US-Dollar überschritten, sowie auf eine Sicherheitslücke bei Trezors Versanddienstleister, durch die zehntausende Kunden betroffen waren.
Die klügsten Krypto-Köpfe lesen unseren Newsletter bereits. Wollt ihr dabei sein? Schließt euch ihnen an.