Sandbox и Cronos перестали подвергаться хакерским атакам, а исследователей призывают ответственно сообщать об ошибках

В августе в рамках проекта Sandbox начали принимать заявки на компенсацию от пользователей, потерявших доступ к $SAND-сети в результате взлома.

Решение о компенсации пользователям принимается примерно в то же время, когда производители аппаратных кошельков Ledger и Trezor предупреждают о том, что следующая волна ошибок надвигается с такой скоростью, что специалисты по защите не успевают их исправлять.

В режиме «Песочница» вновь открывается окно для подачи заявок

Sandbox поделилась информацией на X 8 сентября, заявив, что любой, кто владел мостовыми $SAND на Base или $BNB Smart Chain до уязвимости 22 августа, теперь может подать заявку на полный возврат средств в соотношении 1:1, выплачиваемый в $SAND на Ethereum.

В сообщении говорилось, что владельцам индивидуальных кошельков необходимо подать заявку через портал проекта, в то время как пользователям, владеющим токенами на бирже, ничего делать не нужно.

Анализ ситуации в тестовой среде показал, что потерянные средства составили около 697 000 долларов, как Cryptopolitan . Балансы на Ethereum и Polygon не были затронуты, а Ethereum по-прежнему составляет 3 миллиарда токенов.

В настоящее время акции $SAND торгуются примерно по 0,041 доллара, подорожав более чем на 2,7% за последние 24 часа. Однако стоит отметить, что сейчас они значительно отстают от своего рекордного уровня ноября 2021 года в 8,44 доллара.

Как произошло нападение на мост в игре Sandbox?

Анализ ситуации указал наtracтокенов $SAND в сетях Base и $BNB Smart Chain, которые были настроены как зарегистрированные приложения моста, позволяющие пользователям пропускать лишние транзакции. Уровень обмена сообщениями воспринимал любой запрос из этого источника как приказ от «Песочницы».

Злоумышленники зарегистрировали свой адрес в качестве администратора, ослабили настройки таким образом, что одно подтверждение самоподтверждения очищало сообщение моста, создали токены $SAND на основе депозитов, которые никогда не были внесены, а затем осуществили обратный конвертацию реальных токенов из хранилища Ethereum .

Экспертиза установила, что сумма изъятых из хранилища средств составила 14 742 341,84 $SAND, а общий экономический ущерб приблизился к 1,49 миллиона долларов. 22 августа компания Sandbox закрыла мост через все три цепочки.

Команда Sandbox исключила возможность повторного открытия моста, заявив, что контроль над скомпрометированнымиtrac«может быть оспорен навсегда»

Кронос восстанавливается после тектонического спада

Другой проект, Cronos, пострадавший от атаки в конце августа, похоже, продвинулся дальше в своем восстановлении. Как Cryptopolitan сообщало издание.

По имеющимся данным, злоумышленник за 20 минут искусственно завысил стоимость токена TONIC, имеющего низкую ликвидность, примерно в 100 раз. Затем он взял в долг реальные активы под залог фиктивной стоимости.

Как подтвердила компания PeckShield, блокировка сработала: из примерно 75 миллионов долларов, оказавшихся под угрозой, до Ethereum дошло лишь около 6 миллионов долларов, после чего цепочка остановилась.

Генеральный директор Crypto.com Крис Маршалек заявил, что биржа и приложение не были взломаны. С тех пор Cronos возобновил работу, а общая заблокированная стоимость Tectonic, которая упала примерно со 122 миллионов долларов до менее чем 3 миллионов долларов, снова превысила 121 миллион долларов.

Издания Ledger и Trezor публикуют материалы частных журналистских расследований

В то время как платформы работают над тем, чтобы компенсировать пострадавшим пользователям потери, два самых известных в отрасли производителя холодных кошельков, Ledger и Trezor, обратили внимание на некоторые проблемы безопасности, с которыми приходится сталкиваться платформам, особенно когда речь идет о раскрытии уязвимостей.

Чарльз Гийеме, технический директор Ledger, заявил, что ИИ сделал обнаружение уязвимостей дешевым. В своем сообщении на X Гийеме отметил, что внедрение ИИ также лишило специалистов по защите того преимущества, которое у них когда-то было.

Он обратил внимание на тот факт, что некоторые исследователи теперь публикуют результаты своих исследований до того, как будет найдено решение проблемы, что он назвал «накруткой внимания за счет чужого риска»

Что касается процесса раскрытия информации, он призвал исследователей сообщать о проблемах в частном порядке и сначала установить фиксированные сроки, назвав 90 дней распространенным сроком по умолчанию, который может меняться в зависимости от серьезности проблемы. Компания Trezor поддержала комментарии Гийеме по поводу X, заявив, что они твердо поддерживают ответственное раскрытие информации.

Ян Комарек, руководитель отдела безопасности Trezor, поделился своим мнением по этому поводу, заявив: «90 дней — это обязательство поставщика, а не только исследователя». Он добавил, что исследователи могут опубликовать свои результаты, даже если поставщик не уложится в этот срок.

Эти действия последовали за кражами данных через Coldcard на сумму более 100 миллионов долларов и взломом системы платежного провайдера Trezor, в результате которого были раскрыты данные десятков тысяч клиентов.

Источник