Eine Untersuchung des Blockchain-Analyseunternehmens Bitquery vom 26. Oktober verfolgte 9.408 SOL – im Zeitpunkt des Angriffs rund 953.000 US-Dollar wert – aus 48 Wallets, die mit dem Bloom-Trading-Bot verbunden waren. Laut der Untersuchung hatte die Hälfte der betroffenen Wallets im vorangegangenen Monat nicht über Bloom gehandelt, fünf zuletzt zwischen Januar und Mai 2025.

Bloom hat eine vollständige Entschädigung versprochen. In einer späteren Erklärung, über die AMBCrypto berichtete, führte das Unternehmen den Vorfall auf eine Remote-Code-Execution-Schwachstelle in einem Drittanbieter-Modul zurück und bestritt, dass private Schlüssel kompromittiert wurden. Diese Art von Schwachstelle ermöglicht es einem Angreifer, unbefugten Code innerhalb einer Softwareumgebung auszuführen. Ein Drittanbieter-Modul wiederum ist eine Komponente, die ein Dienst einbindet, statt sie selbst zu schreiben – die Schwachstelle lag also außerhalb des direkt vom Betreiber verfassten Codes, jedoch innerhalb der Umgebung, die der Betreiber betreibt.

Alte Trading-Wallets blieben erreichbar

Bitquery maß die frühere Bloom-Nutzung über Trading-Fee-Zahlungen. Das Fehlen einer aktuellen Gebühr beweist nicht, dass ein Konto gelöscht, eine Wallet getrennt oder sämtliche anderen Transaktionen eingestellt wurden.

Die Forscher gruppierten die geleerten Adressen in neun Trader, wobei sich zwei Gruppen bei der Identifizierung hauptsächlich auf die Reihenfolge der Abhebungen stützten. L Blooms Angaben waren 49 Adressen von neun Nutzern betroffen, gegenüber den 48 von Bitquery gezählten geleerten Wallets.

Der Hauptabfluss lief von 01:03:07 Uhr bis 01:04:41 Uhr UTC, nach vorbereitenden Tests – weniger als zwei Minuten zwischen der ersten vollständigen Abhebung und der letzten.\nFür alle, die einen automatisierten Trading-Dienst verlassen, ist die entscheidende Frage, welcher Zugriff nach dem letzten Trade bestehen bleibt. Eine Wallet kann weiterhin Vermögenswerte halten, während die zuvor zur Signierung ihrer Transaktionen genutzte Infrastruktur verfügbar bleibt. Monate ohne Handel belegen für sich genommen nicht, dass dieser Zugriff beendet wurde.

Die Signaturen zeigen Ausgabeberechtigung, nicht wie sie erlangt wurde

Bitquery fand gewöhnliche SOL-Transfers mit der jeweils eigenen Signatur der Quell-Wallet und identifizierte bei den Abhebungen keine Token-Approval-Falle. Solanas Transaktionsdokumentation erläutert, dass Signaturen Änderungen an Konten autorisieren. Das Netzwerk überprüft diese Autorisierung, kann aber nicht feststellen, ob der menschliche Eigentümer die Zahlung beabsichtigt hat oder ob jemand einen signierfähigen Dienst missbraucht hat.

Ein gestohlener privater Schlüssel und ein kompromittiertes Signiersystem können beide gültige Signaturen erzeugen. Im zweiten Fall könnte ein Angreifer Software dazu bringen, eine Überweisung zu autorisieren, ohne den Schlüssel selbst zu extrahieren. Das ist ein möglicher Mechanismus, keine unabhängig verifizierte Erklärung des Bloom-Vorfalls.

Blooms berichtete Bestreitung eines Schlüssellecks lässt sich daher nicht allein durch Verweis auf die Signaturen klären. Eine vollständigere technische Darstellung müsste erklären, wie das Drittanbieter-Modul in den Signierprozess gelangte und warum bestimmte Wallets betroffen waren.

Der Wechsel der Wallet-App ändert nichts an den Schlüsseln

Trader können eine Anwendung aus ihrer Routine entfernen, während die zugrunde liegenden Zugangsdaten unverändert bleiben – und die Sicherheitswirkung hängt davon ab, was tatsächlich ersetzt wird. Phantoms offizielle Migrationsanleitung stellt fest, dass eine bestehende Wiederherstellungsphrase nicht einfach geändert werden kann; ein Neuanfang erfordert eine neue Wallet und die Übertragung der Vermögenswerte.

Dasselbe Zugangsdatenproblem gilt für die Wiederherstellung einer offengelegten Wiederherstellungsphrase auf einem Ersatzgerät: Die Hardware wechselt, doch die Kopie eines Angreifers bleibt nutzbar. In jenem separaten Ledger-Fall kam eine andere Angriffsmethode zum Einsatz.

Das Ausmustern einer Wallet erfordert mehr als einen Blick auf den SOL-Kontostand

Phantom rät dazu, vor der Aufgabe einer Wallet Token, Sammlerobjekte, Staking- und DeFi-Positionen zu prüfen. Einige Bestände müssen vor einer Übertragung erst unstaked oder aus einer Anwendung abgezogen werden. Künftige Einzahlungen benötigen ebenfalls ein neues Ziel; andernfalls kann Geld weiterhin unter den alten Zugangsdaten eingehen.

Es gibt eine wichtige Ausnahme von den üblichen Migrationshinweisen. Verschwinden Gelder unmittelbar nach Einzahlungen, ist möglicherweise ein automatisierter Sweeper aktiv. Phantoms Sweeper-Anleitung warnt davor, weitere Gelder einzahlen oder zu versuchen, ihm zuvorzukommen. Die Bloom-Untersuchung belegt nicht, dass in jeder betroffenen Wallet ein solcher Sweeper aktiv war.

Wer langfristige Bestände getrennt vom Trading-Guthaben eines Bots hält, begrenzt den über diesen Dienst exponierten Betrag. Das erschwert auch den Ausstieg weniger: Nutzer können erkennen, was weiterhin unter automatisiertem Signierzugriff steht, statt ein ungenutztes Konto als ausgemusterte Wallet zu betrachten.

Für Blooms betroffene Nutzer bleibt die Entschädigung ein Versprechen, bis die Zahlungen bestätigt sind. Die Sicherheitsfrage ist davon getrennt: Welcher unbefugte Zugriff ermöglichte die Abhebungen, und was wurde geändert, um eine weitere signierte Transaktion zu verhindern?

Quelle: Coindoo