Des pirates ont volé 953 000 $ depuis des portefeuilles liés au bot de trading Telegram Bloom en moins de deux minutes, selon la société d'analyse blockchain Bitquery, et la plateforme s'est engagée à rembourser intégralement les neuf traders concernés.

Bitquery a indiqué lundi que l'attaque avait drainé 953 000 $ en 94 secondes depuis 48 portefeuilles de crypto-monnaies appartenant à neuf traders ayant utilisé le bot. Chaque drain était un transfert Solana (SOL) signé avec la clé privée du portefeuille concerné, a précisé la société.

Bloom incrimine une vulnérabilité tierce

Bloom s'est engagé à rembourser intégralement tous les traders affectés. Dans une déclaration publiée sur X lundi, la plateforme a attribué l'attaque à une vulnérabilité d'exécution de code à distance dans un module tiers et a affirmé qu'aucune clé privée n'avait été consultée ou compromise.

L'exécution de code à distance fait partie des classes de failles logicielles les plus graves, car elle permet à un attaquant d'exécuter du code arbitraire sur un système ciblé. La déclaration ne contenait aucun détail technique supplémentaire sur l'exploit.

Un modèle de garde qui laisse persister des risques

Les bots de trading comme Bloom fonctionnent au sein de Telegram, où les utilisateurs passent leurs ordres via des commandes de chat ; pour les exécuter, les bots détiennent les clés privées des utilisateurs en leur nom — un dispositif qui peut laisser subsister des risques de sécurité même après que les traders ont cessé d'utiliser le service. Bitquery a noté que cinq des portefeuilles drainés lors de l'attaque étaient inactifs sur le bot depuis le premier semestre 2025, ce qui signifie que l'exposition s'étendait à des comptes dont les propriétaires avaient depuis longtemps arrêté d'utiliser activement le bot.

Un schéma récurrent pour les bots de trading Telegram

Ce n'est pas la première fois que des utilisateurs de bots de trading Telegram perdent des fonds lors d'une attaque. En septembre 2024, Banana Gun a signalé que 11 utilisateurs avaient perdu environ 3 millions de dollars. En octobre 2023, les utilisateurs des bots de trading Telegram Maestro et Unibot avaient perdu au total 1,1 million de dollars à cause d'exploits visant leurs contrats de routage.

L'incident Bloom, en revanche, pointe vers un module tiers plutôt qu'un contrat de routage, soulignant que la sécurité des bots dépasse le seul code on-chain. L'attention se porte désormais sur la manière dont Bloom honorera son engagement de remboursement et sur les détails supplémentaires qui émergeront concernant le module impliqué.

À lire aussi : Cysic offre une prime de 10 %, le pirate déverse son butin dans Tornado Cash

Source : Cointelegraph