Por Canuto  

The Sandbox reabrió los reclamos para usuarios que perdieron SAND en un exploit de agosto, mientras Cronos retoma operaciones tras contener un ataque contra Tectonic y Ledger y Trezor piden divulgar vulnerabilidades de forma privada.
***

  • The Sandbox ofrece un reembolso 1:1 en SAND de Ethereum a usuarios afectados en Base y BNB Smart Chain.
  • Cronos detuvo su cadena para contener un ataque que expuso USD $75.000.000, aunque solo USD $6.000.000 llegaron a Ethereum.
  • Ledger y Trezor respaldan un plazo común de 90 días para corregir fallas antes de hacerlas públicas.

The Sandbox reabrió la ventana de reclamaciones para los usuarios que perdieron SAND puenteado durante el exploit del 22 de agosto. La compensación será de uno a uno y se pagará en SAND sobre Ethereum, mientras el episodio vuelve a poner bajo examen los riesgos de los puentes entre redes y la velocidad con la que los equipos pueden responder a vulnerabilidades.

El caso ocurre en paralelo con la recuperación de Cronos después de un ataque contra Tectonic, su principal mercado de préstamos, y con un debate cada vez más intenso sobre la divulgación de fallas. Ledger y Trezor sostienen que los investigadores deben informar primero los problemas de manera privada, especialmente ahora que la inteligencia artificial reduce el costo de encontrar errores en contratos y sistemas criptográficos.

The Sandbox reabre los reclamos por SAND

The Sandbox informó que cualquier usuario que tuviera SAND puenteado legítimamente en Base o BNB Smart Chain antes del exploit puede solicitar el reembolso. Los titulares de billeteras individuales deben presentar la reclamación mediante el portal del proyecto, mientras que quienes mantenían los tokens en un exchange no necesitan realizar ninguna acción, según la información divulgada por el proyecto.

El reembolso se entregará en SAND sobre Ethereum, una decisión que permite compensar a los afectados sin reactivar los contratos comprometidos en las otras redes. El equipo indicó que los saldos ubicados en Ethereum y Polygon no fueron afectados, y que el suministro de SAND en Ethereum continúa fijado en 3.000.000.000 de tokens.

El post-mortem citado por Cryptopolitan estimó inicialmente en aproximadamente USD $697.000 el fondo perdido, aunque el análisis forense situó el retiro de la bóveda en 14.742.341,84 SAND y calculó el daño económico total cerca de USD $1.490.000. La diferencia refleja la separación entre los activos retirados directamente y la pérdida económica asociada al conjunto del incidente.

SAND cotizaba alrededor de USD $0,041 y acumulaba un avance superior al 2,7% en las 24 horas descritas por la fuente. Pese a ese movimiento, el token permanece muy por debajo de su máximo histórico de noviembre de 2021, cuando llegó a USD $8,44, una distancia que ilustra el deterioro sufrido por varios activos vinculados al metaverso desde el ciclo alcista anterior.

El diseño del puente permitió el ataque

El informe posterior al incidente apuntó a los contratos de SAND desplegados en Base y BNB Smart Chain. Esos contratos también habían sido configurados como la aplicación registrada del puente, con el objetivo de permitir que los usuarios evitaran transacciones adicionales, pero esa integración creó una ruta de confianza demasiado amplia.

La capa de mensajería interpretaba como una instrucción legítima cualquier mensaje proveniente de esa aplicación registrada. Los atacantes aprovecharon esa relación para registrar su propia dirección como administrador y modificar la configuración de validación, de modo que una sola autoaprobación pudiera validar un mensaje presentado como procedente del puente.

Con ese control, el grupo acuñó SAND contra depósitos que nunca se realizaron y después utilizó el mecanismo de puente inverso para retirar tokens reales de la bóveda de Ethereum. El análisis forense calculó que salieron 14.742.341,84 SAND, mientras el daño económico total se aproximó a USD $1.490.000.

The Sandbox cerró el puente en las tres cadenas el 22 de agosto y descartó volver a abrirlo. El equipo considera que el control sobre los contratos comprometidos es “impugnable para siempre”, por lo que la compensación a los usuarios avanza por una vía separada de cualquier intento de restaurar la infraestructura original.

Cronos contiene el ataque contra Tectonic

Cronos enfrentó un escenario distinto a finales de agosto, cuando detuvo la producción de bloques para contener un ataque contra Tectonic, su mayor mercado de préstamos. Según el reporte citado por Cryptopolitan, el atacante infló aproximadamente 100 veces el precio del token TONIC, un activo con poca negociación, en un periodo de 20 minutos.

Después de elevar artificialmente el valor de TONIC, el atacante pidió prestados activos reales usando esa cotización manipulada como respaldo. La operación expuso cerca de USD $75.000.000, aunque la pausa de la cadena impidió que la mayor parte de esos fondos saliera del ecosistema antes de que los equipos pudieran intervenir.

La firma de seguridad PeckShield confirmó que aproximadamente USD $6.000.000 llegaron a Ethereum antes de la detención de Cronos. Kris Marszalek, director ejecutivo de Crypto.com, afirmó que tanto el exchange como la aplicación de la empresa no fueron comprometidos, una distinción relevante frente al impacto concentrado en el protocolo Tectonic.

La cadena volvió a estar en línea después de la contención y los indicadores de Tectonic mostraron una recuperación significativa. El valor total bloqueado del mercado de préstamos había caído desde aproximadamente USD $122.000.000 hasta menos de USD $3.000.000, pero posteriormente superó de nuevo los USD $121.000.000.

Ledger y Trezor piden divulgación responsable

Mientras The Sandbox y Cronos gestionaban las consecuencias de sus respectivos incidentes, Ledger y Trezor trasladaron la discusión hacia el proceso que debe seguirse cuando un investigador descubre una vulnerabilidad. Charles Guillemet, director de tecnología de Ledger, sostuvo que la inteligencia artificial ha abaratado la identificación de fallas y ha reducido la ventaja inicial que antes tenían los equipos defensivos.

Guillemet cuestionó a los investigadores que publican sus hallazgos antes de que exista un parche disponible. A su juicio, esa práctica equivale a buscar atención asumiendo el riesgo de otra persona, porque deja a usuarios y proveedores expuestos mientras la vulnerabilidad ya circula públicamente.

El ejecutivo pidió reportar los problemas de forma privada y acordar primero un plazo concreto para su corrección. Señaló 90 días como referencia habitual, aunque admitió que el calendario debe flexibilizarse según la gravedad de la falla y las dificultades técnicas que enfrente el proveedor.

Trezor respaldó esa posición y Jan Komárek, jefe de seguridad de la compañía, afirmó que “90 días es un compromiso del proveedor, no solo del investigador”. También indicó que los investigadores pueden publicar sus hallazgos si el proveedor incumple el plazo, en un enfoque que busca equilibrar la presión pública con la necesidad de evitar una explotación inmediata.

El debate llega después de robos relacionados con Coldcard por más de USD $100.000.000 y de una brecha en el proveedor de envíos de Trezor que expuso los datos de decenas de miles de clientes. En conjunto, los incidentes muestran que la seguridad no depende únicamente del código de una cadena o una billetera, sino también de los procesos de custodia, comunicación y respuesta que rodean a cada producto.

La reapertura de los reclamos de The Sandbox ofrece una salida concreta para los usuarios afectados, pero no revierte el riesgo estructural que obligó a cerrar el puente. Cronos, por su parte, logró contener la mayor parte de los fondos expuestos, aunque el ataque evidenció cómo un token de baja liquidez puede convertirse en una herramienta para extraer activos reales de un protocolo de préstamos.

La presión sobre los equipos de seguridad seguirá aumentando a medida que las herramientas de inteligencia artificial aceleren tanto la búsqueda de vulnerabilidades como la capacidad de los atacantes. Para los proyectos, la respuesta no consiste únicamente en pagar compensaciones después de un exploit, sino en diseñar controles independientes, limitar permisos administrativos y establecer canales de divulgación que permitan corregir fallas antes de que lleguen al público.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados