Una investigación del 26 de octubre de la firma de análisis de blockchain Bitquery rastreó 9,408 SOL —con un valor aproximado de 953,000 dólares al momento del ataque— desde 48 billeteras vinculadas al bot de trading Bloom. Según la investigación, la mitad de las billeteras afectadas no había operado a través de Bloom durante el mes anterior, y cinco lo habían hecho por última vez entre enero y mayo de 2025.

Bloom ha prometido un reembolso completo. En una declaración posterior reportada por AMBCrypto, la compañía atribuyó el incidente a una vulnerabilidad de ejecución remota de código en un módulo de terceros y negó que las claves privadas hubieran sido comprometidas. Este tipo de falla permite a un atacante ejecutar código no autorizado dentro de un entorno de software. Un módulo de terceros, a su vez, es un componente que un servicio incorpora en lugar de desarrollar por sí mismo, es decir, la falla estaba fuera del código que el operador escribió directamente, pero dentro del entorno que el operador ejecuta.

Las billeteras de trading antiguas seguían al alcance

Bitquery midió el uso previo de Bloom a través de los pagos de comisiones de trading. La ausencia de comisiones recientes no implica que una cuenta haya sido eliminada, que una billetera haya sido desconectada o que todas las demás transacciones se hayan detenido.

Los investigadores agruparon las direcciones vaciadas en nueve traders, con dos grupos identificados principalmente por el orden de retiro. La cifra reportada por Bloom fue de 49 direcciones afectadas entre nueve usuarios, en comparación con las 48 billeteras vaciadas según Bitquery.

El vaciado principal se ejecutó de 01:03:07 a 01:04:41 UTC, tras pruebas preliminares: menos de dos minutos entre el primer retiro completo y el último.

Para quien abandona un servicio de trading automatizado, la pregunta relevante es qué acceso sobrev a la última operación. Una billetera puede seguir conservando activos mientras la infraestructura utilizada previamente para firmar sus transacciones permanezca disponible. Meses sin operar no demuestran, por sí solos, que ese acceso haya terminado.

Las firmas muestran autoridad de gasto, no cómo se obtuvo

Bitquery encontró transferencias ordinarias de SOL con la firma propia de cada billetera de origen y no identificó trampas de aprobación de tokens en los retiros. La documentación de transacciones de Solana explica que las firmas autorizan cambios en las cuentas. La red verifica esa autorización, pero no puede establecer si el propietario humano tuvo la intención de realizar el pago o si alguien abusó de un servicio capaz de firmarlo.

Una clave privada robada y un sistema de firma comprometido pueden producir ambos firmas válidas. En el segundo caso, un atacante podría hacer que un software autorice una transferencia sin extraer la clave en sí. Ese es un mecanismo posible, no una explicación verificada de forma independiente del incidente de Bloom.

Por lo tanto, la negativa reportada de Bloom sobre una filtración de claves no puede resolverse señalando únicamente las firmas. Un informe técnico más completo necesitaría explicar cómo el módulo de terceros llegó al proceso de firma y por qué fueron afectadas billeteras específicas.

Cambiar de aplicación de billetera no cambia las claves

Los traders pueden retirar una aplicación de su rutina dejando las credenciales subyacentes sin cambios, y el efecto en seguridad depende de lo que realmente se reemplace. La guía oficial de migración de Phantom indica que una frase de recuperación existente no simplemente puede cambiarse; empezar de nuevo requiere una billetera nueva y transferencias de activos.

El mismo problema de credenciales aplica al restaurar una frase de recuperación expuesta en un dispositivo de reemplazo: el hardware cambia, pero la copia del atacante sigue siendo utilizable. Ese caso separado de Ledger involucró un método de ataque distinto.

Retirar una billetera implica revisar más que su balance de SOL

Phantom aconseja revisar tokens, coleccionables, posiciones de staking y DeFi antes de abandonar una billetera. Algunos activos requieren hacer unstaking o retirarlos de una aplicación antes de poder moverlos. Los depósitos futuros también necesitan un nuevo destino; de lo contrario, el dinero puede seguir llegando bajo las credenciales antiguas.

Existe una excepción importante a las instrucciones ordinarias de migración. Si los fondos desaparecen inmediatamente después de los depósitos, puede haber un sweeper automatizado activo. La guía de Phantom sobre sweepers advierte contra añadir más fondos o intentar superar al sweeper en velocidad. La investigación de Bloom no establece que todas las billeteras afectadas tuvieran un sweeper de este tipo.

Mantener los activos de largo plazo separados del balance de trading de un bot limita el monto expuesto a través de ese servicio. También facilita la salida: los usuarios pueden identificar qué permanece bajo acceso de firma automatizado en lugar de tratar cuenta sin uso como una billetera retirada.

Para los usuarios afectados de Bloom, el reembolso sigue siendo un compromiso hasta que los pagos sean confirmados. La pregunta de seguridad es distinta: qué acceso no autorizado habilitó los retiros, y qué se ha cambiado para impedir que se firme otra transacción.

Fuente: Coindoo