Un'indagine del 26 ottobre condotta dalla società di analisi blockchain Bitquery ha tracciato 9.408 SOL — del valore di circa 953.000 dollari al momento dell'attacco — prelevati da 48 wallet collegati al bot di trading Bloom. Secondo l'indagine, metà dei wallet coinvolti non aveva effettuato operazioni tramite Bloom nel mese precedente, e cinque avevano negoziato per l'ultima volta tra gennaio e maggio 2025.

Bloom ha promesso un rimborso completo. In una dichiarazione successiva riportata da AMBCrypto, la società ha attribuito l'incidente a una vulnerabilità di remote code execution in un modulo di terze parti e ha negato che le chiavi private fossero state compromesse. Questo tipo di vulnerabilità consente a un attaccante di eseguire codice non autorizzato all'interno di un ambiente software. Un modulo di terze parti, a sua volta, è un componente integrato da un servizio anziché sviluppato internamente — il che significa che la vulnerabilità si trovava fuori dal codice scritto direttamente dall'operatore, ma dentro l'ambiente che l'operatore gestisce.

I vecchi wallet di trading restavano raggiungibili

Bitquery ha misurato l'utilizzo passato di Bloom attraverso i pagamenti delle commissioni di trading. L'assenza di commissioni recenti non dimostra che un account sia stato eliminato, che un wallet sia stato disconnesso o che ogni altra transazione si sia interrotta.

I ricercatori hanno raggruppato gli indirizzi svuotati in nove trader, identificando gruppi principalmente in base all'ordine dei prelievi. Il conteggio riportato da Bloom è di 49 indirizzi coinvolti per nove utenti, a fronte dei 48 wallet svuotati secondo Bitquery.

Il prelievo principale è avvenuto dalle 01:03:07 alle 01:04:41 UTC, dopo test preliminari: meno di due minuti tra il primo prelievo completo e l'ultimo.

Per chiunque lasci un servizio di trading automatizzato, la domanda rilevante è quale accesso sopravviva all'ultima operazione. Un wallet può ancora contenere asset mentre l'infrastruttura usata in precedenza per firmare le sue transazioni resta disponibile. Mesi senza operazioni non dimostrano, di per sé, che questo accesso sia cessato.

Le firme dimostrano l'autorità di spesa, non come sia stata ottenuta

Bitquery ha rilevato trasferimenti ordinari di SOL recanti la firma di ciascun wallet di origine e non ha individuato trappole di token-approval nei prelievi. La documentazione sulle transazioni di Solana spiega che le firme autorizzano le modifiche agli account. La rete verifica tale autorizzazione, ma non può stabilire se il proprietario umano intendedesse effettuare il pagamento o se qualcuno abbia abusato di un servizio in grado di firmarlo.

Una chiave privata rubata e un sistema di firma compromesso possono entrambi produrre firme valide. Nel secondo caso, un attaccante potrebbe indurre il software ad autorizzare un trasferimento senza estrarre la chiave stessa. Si tratta di un meccanismo possibile, non di una spiegazione verificata in modo indipendente dell'incidente di Bloom.

Il rifiuto riportato da Bloom di una fuga di chiavi non può quindi essere risolto indicando soltanto le firme. Un resoconto tecnico completo dovrebbe spiegare come il modulo di terze parti è giunto al processo di firma e perché determinati wallet sono stati coinvolti.

Cambiare app wallet non cambia le chiavi

I trader possono rimuovere un'applicazione dalla propria routine lasciando invariate le credenziali sottostanti, e l'effetto sulla sicurezza dipende da ciò che viene effettivamente sostituito. La guida ufficiale alla migrazione di Phantom precisa che una frase di recupero esistente non può essere semplicemente modificata; ricominciare richiede un nuovo wallet e il trasferimento degli asset.

Lo stesso problema di credenziali si applica al ripristino di una frase di recupero esposta su un dispositivo sostitutivo: l'hardware cambia, ma la copia dell'attaccante resta utilizzabile. Quel caso separato di Ledger riguardava un metodo di attacco diverso.

Ritirare un wallet significa controllare più del saldo SOL

Phantom consiglia di esaminare token, collezionabili, posizioni di staking e DeFi prima di abbandonare un wallet. Alcune partecipazioni richiedono lo sblocco dello staking o il prelievo da un'applicazione prima di poter essere spostate. Anche i depositi futuri necessitano di una destinazione; in caso contrario, i fondi possono continuare ad arrivare con le vecchie credenziali.

Esiste un'importante eccezione alle normali istruzioni di migrazione. Se i fondi scompaiono subito dopo i depositi, potrebbe essere attivo uno sweeper automatizzato. La guida di Phantom sugli sweeper mette in guardia dall'aggiungere altri fondi o dal tentare di superarne la velocità. L'indagine su Bloom non dimostra che ogni wallet coinvolto avesse uno sweeper di questo tipo.

Mantenere le partecipazioni a lungo termine separate dal saldo di trading di un bot limita l'importo esposto attraverso quel servizio. Semplifica anche l'uscita: gli utenti possono identificare ciò che resta sotto accesso di firma automatizzato invece di considerare un account inutilizzato come un wallet ritirato.

Per gli utenti coinvolti di Bloom, il rimborso resta un impegno finché i pagamenti non vengono confermati. La questione della sicurezza è separata: quale accesso non autorizzato ha consentito i prelievi, e cosa è stato modificato per impedire la firma di un'altra transazione?

Fonte: Coindoo