Sandbox telah mulai menerima klaim kompensasi dari pengguna yang kehilangan SAND jembatan (bridged SAND) dalam sebuah eksploit pada bulan Agustus.

Langkah untuk membuat pengguna kembali utuh (whole) datang pada waktu yang sama ketika pembuat dompet perangkat keras Ledger dan Trezor memperingatkan bahwa gelombang bug berikutnya tiba dengan kecepatan yang lebih cepat daripada yang bisa ditambal oleh para pembela.

Sandbox membuka kembali jendela pengajuan klaim

Sandbox membagikan informasi tersebut di X pada 8 September, menyatakan bahwa siapa pun yang memegang bridged SAND di Base atau BNB Smart Chain sebelum eksploit 22 Agustus kini dapat mengajukan pengembalian dana penuh 1:1 yang dibayarkan dalam SAND di Ethereum.

Ia mengatakan pemegang dompet individu perlu mengajukan klaim melalui portal proyek, sedangkan pengguna yang memegang token di bursa tidak perlu melakukan apa pun.

Laporan pasca-kejadian Sandbox menunjukkan bahwa dana yang hilang sekitar $697.000, demikian dilaporkan Cryptopolitan. Saldo di Ethereum dan Polygon tidak pernah tersentuh, dan pasokan Ethereum masih memiliki 3 miliar token.

SAND saat ini diperdagangkan sekitar $0,041, setelah naik lebih dari 2,7% dalam 24 jam terakhir. Namun, perlu dicatat bahwa nilainya masih jauh dari rekor November 2021 sebesar $8,44.

Bagaimana serangan bridge Sandbox terjadi?

Laporan pasca-kejadian menuding kontrak token SAND di Base dan BNB Smart Chain, yang telah dikonfigurasikan untuk sekaligus menjadi aplikasi terdaftar milik bridge sehingga pengguna bisa melewati transaksi tambahan. Lapisan pesan membaca apa pun dari sumber itu sebagai perintah dari The Sandbox.

Penyerang mendaftarkan alamat mereka sendiri sebagai administrator, melonggarkan pengaturan sehingga persetujuan diri tunggal dapat membersihkan pesan bridge, mencetak SAND terhadap setoran yang tidak pernah terjadi, lalu membalik-bridge token asli keluar dari brankas Ethereum.

Forensik menelusuri penarikan dari brankas sebesar 14.742.341,84 SAND dan total kerugian ekonomi mendekati $1,49 juta. Sandbox menutup bridge di semua tiga chain pada 22 Agustus.

Tim Sandbox telah menolak untuk membuka kembali bridge, karena menurutnya kendali atas kontrak yang dikompromikan itu “bisa diperdebatkan selamanya.”

Cronos pulih setelah pengurasan Tectonic

Proyek lain, Cronos, yang mengalami eksploit menjelang akhir Agustus, tampaknya berada lebih jauh dalam proses pemulihannya. Rantai yang terhubung dengan Crypto.com menghentikan produksi blok pada 30 Agustus untuk menahan serangan terhadap Tectonic, pasar pinjaman terbesarnya, demikian dilaporkan Cryptopolitan.

Seorang penyerang dilaporkan menggembungkan token TONIC yang diperdagangkan tipis sekitar 100 kali dalam 20 menit. Lalu, mereka meminjam aset nyata berdasarkan nilai palsu tersebut.

Pembekuan berhasil, karena hanya sekitar $6 juta dari kira-kira $75 juta yang terekspos sempat mencapai Ethereum sebelum rantai berhenti, demikian konfirmasi perusahaan keamanan PeckShield.

CEO Crypto.com Kris Marszalek mengatakan bursa dan aplikasinya tidak pernah diretas. Cronos sejak itu kembali online, dan total nilai terkunci Tectonic, yang sempat anjlok dari sekitar $122 juta menjadi di bawah $3 juta, kini telah naik lagi di atas $121 juta.

Ledger dan Trezor mendorong pelaporan privat

Sambil platform-platform berupaya membuat pengguna yang terdampak kembali utuh, dua produsen dompet dingin yang paling terkenal di industri—Ledger dan Trezor—telah menyoroti sejumlah tantangan keamanan yang harus dihadapi platform, terutama dalam hal pengungkapan kerentanan.

Charles Guillemet, chief technology officer di Ledger, mengatakan bahwa AI membuat kerentanan menjadi murah untuk dicari. Dalam sebuah postingan di X, Guillemet menyatakan bahwa dimasukkannya AI ke dalam proses juga telah menghilangkan keuntungan awal yang dulu dimiliki para pembela.

Ia menyoroti fakta bahwa beberapa peneliti kini mempublikasikan temuan sebelum perbaikan ada, yang ia sebut sebagai “perburuan perhatian dengan risiko orang lain.”

Dalam proses pengungkapan, ia mendesak peneliti untuk melaporkan masalah secara privat dan menyepakati terlebih dahulu jadwal yang tetap, dengan menyebut 90 hari sebagai default umum yang menyesuaikan dengan tingkat keparahan. Trezor mendukung komentar Guillemet di X, menyatakan bahwa mereka tegas berada di balik responsible disclosure.

Jan Komarek, kepala keamanan Trezor, membagikan pemikirannya, dengan menyatakan, “Sembilan puluh hari adalah komitmen dari pihak vendor, bukan hanya pada peneliti.” Ia menambahkan bahwa peneliti tetap bisa mempublikasikan temuan mereka jika vendor melewatkan jendela waktu tersebut.

Dorongan ini menyusul pencurian Coldcard yang menembus $100 juta dan pelanggaran pada penyedia pengiriman Trezor yang mengekspos puluhan ribu pelanggan.

Para ahli kripto paling cerdas sudah membaca newsletter kami. Mau gabung? Bergabunglah dengan mereka.