A Sandbox começou a aceitar reivindicações de compensação de usuários que perderam SAND em ponte em um exploit de agosto.
A medida para deixar os usuários em situação completa está chegando na mesma época em que os fabricantes de carteiras de hardware Ledger e Trezor alertam que a próxima onda de bugs está chegando em um ritmo mais rápido do que o que os defensores conseguem corrigir.
A Sandbox reabre a janela de reivindicações
A Sandbox compartilhou a informação no X em 8 de setembro, afirmando que qualquer pessoa que tenha mantido SAND em ponte na Base ou na BNB Smart Chain antes do exploit de 22 de agosto agora pode solicitar um reembolso integral 1:1 pago em SAND na Ethereum.
Ele disse que os detentores individuais de carteiras precisam enviar uma reivindicação (claim) pelo portal do projeto, enquanto usuários que tinham o token em uma exchange não precisam fazer nada.
O pós-mortem do The Sandbox mostra que a reserva de fundos perdida foi de cerca de US$ 697.000, segundo informou a Cryptopolitan. Os saldos na Ethereum e na Polygon não foram tocados, e a oferta de Ethereum ainda tem 3 bilhões de tokens.
O SAND atualmente é negociado em torno de US$ 0,041, tendo subido mais de 2,7% nas últimas 24 horas. No entanto, vale notar que ele ainda está bem distante do recorde de novembro de 2021, de US$ 8,44.
Como ocorreu o ataque à ponte (bridge) do Sandbox?
O pós-mortem apontou os contratos do token SAND na Base e na BNB Smart Chain, que haviam sido configurados para também funcionar como a aplicação registrada da ponte, permitindo que os usuários ignorassem transações extras. A camada de mensagens tratava qualquer coisa dessa fonte como um pedido do The Sandbox.
Os atacantes registraram o próprio endereço como administrador, afrouxaram as configurações para que uma única autoaprovação limpasse uma mensagem de ponte, cunharam SAND contra depósitos que nunca ocorreram e, então, fizeram uma ponte de volta de tokens reais retirando-os do cofre (vault) da Ethereum.
As investigações atribuíram a retirada do cofre a 14.742.341,84 SAND e o dano econômico total em cerca de US$ 1,49 milhão. O The Sandbox fechou a ponte em todas as três cadeias em 22 de agosto.
A equipe do The Sandbox descartou reabrir a ponte, pois diz que o controle sobre os contratos comprometidos é “contestável para sempre”.
A Cronos se recupera após o esvaziamento da Tectonic
Outro projeto, a Cronos, que sofreu um exploit perto do fim de agosto, parece estar ainda mais avançado na recuperação. A cadeia ligada à Crypto.com interrompeu a produção de blocos em 30 de agosto para conter um ataque à Tectonic, seu maior mercado de empréstimos, conforme informou a Cryptopolitan.
Um atacante, segundo relatos, inflou em cerca de 100 vezes, em 20 minutos, o token TONIC pouco negociado. Depois, tomou emprestados ativos reais contra o valor falso.
A contenção funcionou: apenas cerca de US$ 6 milhões, de aproximadamente US$ 75 milhões expostos, chegaram à Ethereum antes de a cadeia parar, confirmou a empresa de segurança PeckShield.
O CEO da Crypto.com, Kris Marszalek, disse que a exchange e o aplicativo nunca foram comprometidos. A Cronos desde então voltou a ficar online, e o valor total bloqueado (TVL) da Tectonic — que caiu de cerca de US$ 122 milhões para menos de US$ 3 milhões — voltou a subir acima de US$ 121 milhões.
Ledger e Trezor pressionam por relatórios privados
Enquanto as plataformas trabalham para tentar colocar os usuários afetados em dia, dois dos fabricantes de carteiras frias (cold wallets) mais conhecidos da indústria, Ledger e Trezor, destacaram alguns dos desafios de segurança que as plataformas precisam enfrentar, especialmente quando se trata de divulgar vulnerabilidades.
Charles Guillemet, diretor de tecnologia (CTO) da Ledger, disse que a IA tornou barato encontrar vulnerabilidades. Em uma postagem no X, Guillemet afirmou que a introdução de IA no processo também retirou dos defensores a vantagem inicial que eles tinham antes.
Ele apontou o fato de que alguns pesquisadores agora publicam resultados antes que exista uma correção, o que ele chamou de “farmar atenção com o risco de outra pessoa”.
Sobre o processo de divulgação, ele pediu que os pesquisadores denunciem os problemas de forma privada e definam primeiro um cronograma fixo, citando 90 dias como uma configuração padrão comum que se ajusta à gravidade. A Trezor apoiou os comentários de Guillemet no X, afirmando que estão firmemente por trás da divulgação responsável.
Jan Komarek, diretor de segurança da Trezor, compartilhou seus pensamentos sobre o assunto, afirmando: “Noventa dias é um compromisso do fornecedor, não apenas do pesquisador.” Ele acrescentou que os pesquisadores podem seguir em frente e publicar suas descobertas se o fornecedor perder a janela.
A investida vem depois de roubos envolvendo Coldcard ultrapassarem US$ 100 milhões e de uma violação no provedor de envio da Trezor que expôs dezenas de milhares de clientes.
Os cérebros mais inteligentes do cripto já leem nosso boletim. Quer entrar? Junte-se a eles.