A Sandbox e a Cronos deixam de lado as intrusões e incentivam os investigadores a reportar bugs de forma responsável

O Sandbox começou a aceitar pedidos de indemnização de utilizadores que perderam pacotes SAND numa vulnerabilidade explorada em agosto. 

A medida para ressarcir os utilizadores está a surgir quase ao mesmo tempo que os fabricantes de carteiras de hardware Ledger e Trezor alertam que a próxima onda de bugs está a chegar a um ritmo mais acelerado do que a capacidade das equipas de segurança para os corrigir.

O ambiente de testes reabre a janela de reivindicação

A Sandbox partilhou informações sobre a X no dia 8 de setembro, afirmando que qualquer pessoa que possuísse SAND em ponte na Base ou BNB Smart Chain antes da exploração de 22 de agosto pode agora solicitar um reembolso total de 1:1 pago em SAND na Ethereum. 

O comunicado informava que os titulares de carteiras individuais precisam de enviar um pedido através do portal do projeto, enquanto os utilizadores que detêm o token numa corretora não precisam de fazer nada.

A análise pós-lançamento do Sandbox mostra que o montante perdido foi de aproximadamente 697.000 dólares, conforme Cryptopolitan . Os saldos no Ethereum e no Polygon não foram afetados, e o Ethereum mantém-se nos 3 mil milhões de tokens.

Atualmente, o SAND está a ser negociado em torno de 0,041 dólares, tendo subido mais de 2,7% nas últimas 24 horas. No entanto, é de notar que está muito abaixo do seu máximo de novembro de 2021, de 8,44 dólares.

Como ocorreu o ataque à ponte Sandbox?

A análise pós-incidente apontou o dedo aostracdo token SAND nas redes Base e BNB Smart Chain, que tinham sido configurados para funcionar também como a aplicação registada da ponte, permitindo aos utilizadores evitar transações adicionais. A camada de mensagens interpretava qualquer pedido proveniente dessa origem como uma ordem do The Sandbox.

Os atacantes registaram o seu próprio endereço como administrador, afrouxaram as definições para que uma única autoaprovação aprovasse uma mensagem de ponte, cunharam SAND contra depósitos que nunca ocorreram e, em seguida, realizaram uma ponte inversa para retirar tokens reais do cofre Ethereum . 

A perícia calculou o levantamento do cofre em 14.742.341,84 litros de areia e o prejuízo económico total em cerca de 1,49 milhões de dólares. O complexo Sandbox fechou a ponte que atravessa as três cadeias de minas no dia 22 de agosto. 

A equipa da Sandbox afastou a reabertura da ponte, alegando que o controlo sobre ostraccomprometidos é "disputável para sempre"

Cronos recupera após o esvaziamento tectónico

Outro projeto, o Cronos, que sofreu um ataque no final de agosto, parece estar mais avançado na sua recuperação. A blockchain ligada à Crypto.com interrompeu a produção de blocos a 30 de agosto para conter um ataque à Tectonic, o seu maior mercado de empréstimos, como Cryptopolitan relata. 

Segundo os relatos, um atacante inflacionou o valor do token TONIC, que tinha baixa liquidez, em cerca de 100 vezes em 20 minutos. Em seguida, contraiu empréstimos de ativos reais usando esse valor falso como garantia.

O congelamento resultou, uma vez que apenas cerca de 6 milhões de dólares dos cerca de 75 milhões de dólares expostos chegaram Ethereum antes da interrupção da rede, confirmou a empresa de segurança PeckShield. 

Kris Marszalek, CEO da Crypto.com, afirmou que a exchange e a aplicação nunca foram comprometidas. A Cronos já voltou a operar e o valor total bloqueado da Tectonic, que tinha caído a pique de cerca de 122 milhões de dólares para menos de 3 milhões de dólares, voltou a subir para mais de 121 milhões de dólares.

Ledger e Trezor pressionam por reportagens privadas

Enquanto as plataformas trabalham para tentar ressarcir os utilizadores afetados, dois dos fabricantes de carteiras frias mais conhecidos do setor, a Ledger e a Trezor, destacaram alguns dos desafios de segurança que as plataformas precisam de enfrentar, especialmente quando se trata da divulgação de vulnerabilidades.

Charles Guillemet, diretor de tecnologia da Ledger, afirmou que a IA tornou as vulnerabilidades baratas de encontrar. Numa publicação no X, Guillemet declarou que a introdução da IA também eliminou a vantagem inicial que os defensores tinham anteriormente. 

Criticou o facto de alguns investigadores publicarem descobertas antes de existir uma solução, a que chamou "procura de atenção à custa de outros"

Sobre o processo de divulgação, incentivou os investigadores a reportarem os problemas de forma privada e a definirem um prazo fixo inicialmente, citando 90 dias como um prazo padrão comum, que pode variar de acordo com a gravidade. A Trezor apoiou os comentários de Guillemet sobre o X, afirmando que são firmemente a favor da divulgação responsável. 

Jan Komarek, responsável de segurança da Trezor, partilhou a sua opinião sobre o assunto, afirmando: "Noventa dias é um compromisso do fornecedor, não apenas do investigador". Acrescentou que os investigadores podem avançar com a publicação das suas descobertas caso o fornecedor não cumpra o prazo.

A iniciativa surge na sequência de roubos da Coldcard que ultrapassaram os 100 milhões de dólares e de uma violação de segurança no fornecedor de envios da Trezor que expôs dezenas de milhares de clientes.

Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.