Hacker hanno rubato 953.000 dollari da wallet collegati al trading bot su Telegram Bloom in meno di due minuti, secondo la società di analisi blockchain Bitquery, e la piattaforma si è impegnata a rimborsare integralmente i nove trader coinvolti.

Bitquery ha riferito lunedì che l'attacco ha svuotato 953.000 dollari in 94 secondi da 48 wallet di criptovalute appartenenti a nove trader che avevano utilizzato il bot. Ogni prelievo è stato una trasferimento in Solana (SOL) firmato con la chiave privata del wallet interessato, ha dichiarato la società.

Bloom accusa una vulnerabilità di terze parti

Bloom si è impegnata a rimborsare integralmente tutti i trader coinvolti. In una dichiarazione pubblicata su X successiva lo stesso lunedì, la piattaforma ha attribuito l'attacco a una vulnerabilità di remote code execution in un modulo di terze parti e ha dichiarato che nessuna chiave privata era stata accessa o compromessa.

Il remote code execution è tra le categorie più gravi di vulnerabilità software, poiché consente a un attaccante di eseguire codice arbitrario su un sistema bersaglio. Ulteriori dettagli tecnici sull'exploit non sono stati inclusi nella dichiarazione.

Il modello di custodia lascia rischi persistenti

I trading bot come Bloom operano all'interno di Telegram, dove gli utenti eseguono operazioni tramite comandi in chat; per eseguirle, i bot detengono le chiavi private degli utenti per loro conto — un accordo che può lasciare rischi di sicurezza persistenti anche dopo che i trader hanno smesso di utilizzare il servizio. Bitquery ha evidenziato che cinque dei wallet svuotati nell'attacco erano inattivi sul bot dalla prima metà del 2025, il che significa che l'esposizione si è estesa anche a conti i cui proprietari avevano da tempo smesso di usare attivamente il bot.

Uno schema ripetuto per i trading bot su Telegram

L'episodio non è la prima volta che gli utenti di trading bot su Telegram perdono fondi in seguito a un attacco. A settembre 2024, Banana Gun ha riferito che 11 utenti hanno perso circa 3 milioni di dollari. A ottobre 2023, gli utenti dei trading bot su Telegram Maestro e Unibot hanno perso complessivamente 1,1 milioni di dollari a causa di exploit dei loro contratti router.

L'episodio Bloom, al contrario, punta a un modulo di terze parti anziché a un contratto router, sottolineando che la sicurezza dei bot va oltre il semplice codice on-chain. L'attenzione ora si sposta su come Bloom porterà avanti l'impegno ai rimborsi e su quali ulteriori dettagli emergeranno sul modulo coinvolto.

Related: Cysic offre una bounty del 10%, l'hacker riversa il bottino in Tornado Cash

Source: Cointelegraph