Bloom, un trading bot per criptovalute basato su Telegram, ha subìto un grave incidente di sicurezza il 26 ottobre 2026, in cui gli aggressori hanno sottratto circa 953.000 dollari in Solana (SOL) da 48 wallet in soli 94 secondi. Secondo l'analisi delle transazioni sulla blockchain, i wallet colpiti appartenevano a nove trader.

Bloom si è impegnato a rimborsare tutti gli utenti coinvolti mentre indaga sull'incidente, compresa la possibilità che un fornitore di servizi terzo abbia subito una violazione della sicurezza.

Gli aggressori svuotano i wallet Solana in pochi secondi

I registri della blockchain mostrano che gli aggressori hanno trasferito circa 9.408 SOL da wallet associati a Bloom. L'operazione ha seguito uno schema coordinato, suggerendo l'uso di uno script automatizzato. Gli aggressori hanno prima effettuato piccole transazioni di prova prima di prendere di mira i wallet con saldi più elevati, per poi svuotare sistematicamente i conti, completando l'operazione principale in 94 secondi.

Un wallet ha perso circa 1.636 SOL, del valore di circa 166.000 dollari all'epoca, mentre sei wallet rappresentavano circa il 61% del totale delle criptovalute rubate.

Gli aggressori hanno preso di mira le riserve di SOL lasciando inizialmente intatti circa 56.853 dollari in USDC. Uno dei trader colpiti ha successivamente trasferito in sicurezza circa 49.000 dollari in USDC prima che un altro tentativo di prelievo andasse a buon fine.

Bloom promette un rimborso completo

In risposta all'incidente, Bloom si è impegnato a rimborsare i nove trader coinvolti, dichiarando che avrebbe trasferito fondi sostitutivi su nuovi wallet designati dai rispettivi proprietari. L'azienda ha anche indicato di stare indagando su una possibile compromissione che coinvolge un fornitore terzo, sebbene la causa esatta dell'incidente resti non confermata.

Bloom ha sostenuto che le sue chiavi private non sono state compromesse. Tuttavia, l'analisi della blockchain ha individuato transazioni autorizzate utilizzando le chiavi private dei wallet colpiti, sollevando domande su come gli aggressori abbiano ottenuto l'accesso alla firma. Gli investigatori non hanno stabilito se le credenziali provengano dall'infrastruttura di Bloom, da un fornitore esterno o da altra fonte. Identificare dove queste credenziali siano state esposte resta la domanda centrale ancora aperta dell'indagine.

Crescono le preoccupazioni sulla sicurezza dei trading bot crypto

L'incidente mette in luce i rischi di sicurezza associati ai servizi automatizzati di trading di criptovalute, che spesso mantengono l'accesso alle credenziali dei wallet degli utenti per eseguire le transazioni rapidamente. I bot basati su Telegram come Bloom consentono agli utenti di acquistare e vendere token tramite comandi in chat, e questa comodità dipende dalla capacità del servizio di firmare transazioni per conto dell'utente in qualsiasi momento. La tempistica di 94 secondi illustra il rovescio della medaglia di questa velocità: una volta che l'accesso alla firma viene abusato, trasferimenti su larga scala possono consumarsi più rapidamente di quanto rilevamento o intervento possano seguire.

L'analisi della blockchain ha inoltre rivelato che diversi wallet colpiti erano rimasti inattivi su Bloom dall'inizio del 2025. Questo suggerisce che i wallet di trading utilizzati in precedenza possono rimanere vulnerabili quando le loro chiavi private vengono esposte.

Allo snapshot del 26 ottobre dell'indagine, circa 9.408 SOL si trovavano ancora in un wallet controllato dall'attaccante senza ulteriori trasferimenti. Se questi fondi verranno spostati, come si evolverà il processo di rimborso di Bloom e cosa rivelerà la verifica del fornitore terzo sono gli sviluppi chiave da seguire proseguendo l'indagine.

L'impegno al rimborso di Bloom potrebbe aiutare i trader colpiti a recuperare le perdite. Tuttavia, l'incidente sottolinea l'importanza di proteggere le chiavi private e di limitare i fondi depositati nei wallet collegati alle piattaforme di trading automatizzato.

Fonte: CryptoMeter io