Une enquête menée le 26 octobre par la société d'analyse blockchain Bitquery a permis de retracer 9 408 SOL — d'une valeur d'environ 953 000 $ au moment de l'attaque — sortis de 48 portefeuilles liés au bot de trading Bloom. Selon l'enquête, la moitié des portefeuilles touchés n'avaient pas tradé via Bloom durant le mois précédent, et cinq n'avaient plus tradé entre janvier et mai 2025.

Bloom a promis un remboursement intégral. Dans une déclaration ultérieure relayée par AMBCrypto, la société a attribué l'incident à une vulnérabilité d'exécution de code à distance dans un module tiers et a nié que des clés privées aient été compromises. Ce type de faille permet à un attaquant d'exécuter du code non autorisé au sein d'un environnement logiciel. Un module tiers désigne un composant qu'un service intègre plutôt qu'il ne développe lui-même — autrement dit, la faille se trouvait en dehors du code directement écrit par l'opérateur, mais à l'intérieur de l'environnement qu'il exploite.

D'anciens portefeuilles de trading sont restés accessibles

Bitquery a mesuré l'usage passé de Bloom via les paiements de frais de trading. L'absence de frais récents ne prouve pas qu'un compte a été supprimé, qu'un portefeuille a été déconnecté ou que toutes les autres transactions avaient cessé.

Les chercheurs ont regroupé les adresses vidées en neuf traders, dont deux groupes identifiés principalement grâce à l'ordre des retraits. Le nombre communiqué par Bloom était de 49 adresses touchées réparties entre neuf utilisateurs, contre 48 portefeuilles vidés selon Bitquery.

Le vidage principal s'est déroulé de 01:03:07 à 01:04:41 UTC, après des testsliminaires — soit moins de deux minutes entre le premier retrait complet et le dernier.

Pour quiconque quitte un service de trading automatisé, la question pertinente est de savoir quel accès subsiste après la dernière transaction. Un portefeuille peut encore détenir des actifs alors que l'infrastructure précédemment utilisée pour signer ses transactions reste disponible. Plusieurs mois sans trading ne démontrent pas, en soi, que cet accès a pris fin.

Les signatures attestent d'un droit de dépense, pas de la manière dont il a été obtenu

Bitquery a constaté des transferts SOL ordinaires portant la signature propre à chaque portefeuille source et n'a identifié aucun piège d'approbation de jetons dans ces retraits. La documentation sur les transactions de Solana explique que les signatures autorisent les modifications des comptes. Le réseau vérifie cette autorisation, mais il ne peut pas établir si le propriétaire humain a voulu le paiement ou si quelqu'un a exploité un service capable de le signer.

Une clé privée volée et un système de signature compromis peuvent tous deux produire des signatures valides. Dans le second cas, un attaquant peut amener un logiciel à autoriser un transfert sans extraire la clé elle-même. Il s'agit d'un mécanisme possible, et non d'une explication vérifiée de manière indépendante de l'incident Bloom.

Le démenti rapporté de Bloom concernant une fuite de clé ne peut donc pas être tranché en s'appuyant uniquement sur les signatures. Un compte rendu technique plus complet devrait expliquer comment le module tiers est parvenu au processus de signature et pourquoi certains portefeuilles ont été touchés.

Changer d'application de portefeuille ne change pas les clés

Les traders peuvent retirer une application de leur routine tout en laissant les identifiants sous-jacents inchangés, et l'effet sur la sécurité dépend de ce qui est réellement remplacé. Les conseils officiels de migration de Phantom indiquent qu'une phrase de récupération existante ne peut pas simplement être modifiée ; repartir de zéro exige un nouveau portefeuille et des transferts d'actifs.

Le même problème d'identifiants s'applique à la restauration d'une phrase de récupération exposée sur un appareil de remplacement : le matériel change, mais la copie d'un attaquant reste utilisable. Cette affaire Ledger distincte impliquait une méthode d'attaque différente.

Retirer un portefeuille implique de vérifier plus que son solde SOL

Phantom conseille d'examiner les jetons, les collections, les mises en stake et les positions DeFi avant d'abandonner un portefeuille. Certains actifs nécessitent un retrait de stake ou un retrait d'une application avant de pouvoir être déplacés. Les dépôts futurs doivent également être redirigés ; sinon, des fonds peuvent continuer à arriver sous les anciens identifiants.

Il existe une exception importante aux instructions de migration habituelles. Si des fonds disparaissent immédiatement après un dépôt, un sweeper automatisé est peut-être actif. Les conseils de Phantom sur les sweepers déconseillent d'ajouter davantage de fonds ou de tenter de le devancer. L'enquête sur Bloom n'établit pas que chaque portefeuille touché comportait un tel sweeper.

Maintenir les avoirs à long terme séparés du solde de trading d'un bot limite le montant exposé via ce service. Cela facilite aussi le départ : les utilisateurs peuvent identifier ce qui reste soumis à un accès de signature automatisé au lieu de considérer un compte inutilisé comme un portefeuille retiré.

Pour les utilisateurs touchés de Bloom, le remboursement reste un engagement tant que les paiements ne sont pas confirmés. La question de sécurité est distincte : quel accès non autorisé a permis les retraits, et qu'a-t-on modifié pour empêcher qu'une autre transaction soit signée ?

Source : Coindoo