Hackers robaron $953,000 de billeteras vinculadas al bot de trading de Telegram Bloom en menos de dos minutos, según la firma de análisis blockchain Bitquery, y la plataforma se comprometió a reembolsar íntegramente a los nueve traders afectados.

Bitquery informó el lunes que el ataque drenó $953,000 en 94 segundos de 48 billeteras de criptomonedas pertenecientes a nueve traders que habían usado el bot. Cada drenaje fue una transferencia de Solana (SOL) firmada con la clave privada de la billetera afectada, indicó la firma.

Bloom culpa a una vulnerabilidad de terceros

Bloom se comprometió a reembolsar la totalidad a todos los traders afectados. En un comunicado publicado en X más tarde el lunes, la plataforma atribuyó el ataque a una vulnerabilidad de ejecución remota de código en un módulo de terceros y afirmó que no se accedió ni se comprometió ninguna clave privada.

La ejecución remota de código es una de las clases más graves de fallos de software, ya que permite a un atacante ejecutar código arbitrario en un sistema objetivo. El comunicado no incluyó más detalles técnicos del exploit.

El modelo de custodia deja riesgos persistentes

Los bots de trading como Bloom operan dentro de Telegram, donde los usuarios ejecutan operaciones mediante comandos de chat; para llevarlas a cabo, los bots custodian las claves privadas de los usuarios en su nombre, un esquema que puede dejar riesgos de seguridad incluso después de que los traders dejen de usar el servicio. Bitquery señaló que cinco de las billeteras drenadas en el ataque estaban inactivas en el bot desde la primera mitad de 2025, lo que significa que la exposición se extendió a cuentas cuyos dueños habían dejado de usar activamente el bot hace mucho tiempo.

Un patrón repetido en los bots de trading de Telegram

El incidente no es la primera vez que los usuarios de bots de trading de Telegram pierden fondos en un ataque. En septiembre de 2024, Banana Gun reportó que 11 usuarios perdieron cerca de $3 millones. En octubre de 2023, los usuarios de los bots de trading de Telegram Maestro y Unibot perdieron en conjunto $1.1 millones por exploits de sus contratos de router.

El incidente de Bloom, en cambio, apunta a un módulo de terceros y no a un contrato de router, lo que subraya que la seguridad de los bots va más allá del código on-chain. Ahora la atención se centra en cómo Bloom cumplirá su promesa de reembolso y en qué detalles adicionales surjan sobre el módulo involucrado.

Relacionado: Cysic ofrece una recompensa del 10% y el hacker traslada el botín a Tornado Cash

Fuente: Cointelegraph