Bloom, een op Telegram gebaseerde cryptocurrency-tradingbot, kreeg op 26 oktober 2026 te maken met een aanzienlijk beveiligingsincident, waarbij aanvallen in slechts 94 seconden ongeveer $953.000 in Solana (SOL) afhaalden uit 48 wallets. Volgens blockchainanalyse van transacties behoorden de getroffen wallets aan negen handelaren.

Bloom heeft toegezegd alle getroffen gebruikers te compenseren terwijl het het incident onderzoekt, waaronder de mogelijkheid dat een externe dienstverlener een beveiligingsinbreuk heeft ondervonden.

Aanvallen voeren snelle plundering van Solana-wallets uit

Blockchainregistratie toont aan dat de aanvallen ongeveer 9.408 SOL overmaakten vanuit wallets die aan Bloom zijn gelinkt. De actie volgde een gecoördineerd patroon, wat wijst op het gebruik van een geautomatiseerd script. De aanvallen voerden eerst kleine testtransacties uit voordat ze wallets met grotere saldi aanpakten, waarna ze de accounts systematisch leeghaalden; de hoofdoperatie werd binnen 94 seconden voltooid.

Eén wallet verloor ongeveer 1.636 SOL, ten tijde van het incident goed voor rond $166.000, terwijl zes wallets goed waren voor ongeveer 61% van de totale gestolen cryptocurrency.

De aanvallen richtten zich op SOL-bezittingen en lieten aanvankelijk ongeveer $56.853 in USDC onaangeroerd. Eén getroffen handelaar bracht vervolgens zo'n $49.000 in USDC in veiligheid voordat een tweede poging tot opname slaagde.

Bloom belooft volledige compensatie

Als reactie op het incident heeft zich Bloom verbonden aan het compenseren van de negen getroffen handelaren, met de mededeling dat vervangende gelden worden overgemaakt naar nieuwe wallets die door de eigenaren zijn aangewezen. Het bedrijf gaf ook aan te onderzoeken of er sprake is van een mogelijke compromittering bij een externe aanbieder, hoewel de precieze oorzaak van het incident nog niet is bevestigd.

Bloom volhoudt dat zijn privésleutels niet zijn gecompromitteerd. Desondanks identificeerde blockchainanalyse transacties die waren geautoriseerd met de privésleutels van de getroffen wallets, wat vragen oproept over hoe de aanvallen toegang tot de ondertekening verkregen. Onderzoekers hebben niet vastgesteld of de inloggegevens afkomstig waren van Blooms infrastructuur, een externe aanbieder of een andere bron. Vaststellen waar die referenties zijn gelekt blijft de centrale open vraag van het onderzoek.

Zorgelijkheden rond beveiliging van crypto-tradingbots nemen toe

Het incident benadrukt de beveiligingsrisico's van geautomatiseerde cryptocurrency-handelsdiensten, die vaak toegang houden tot de walletreferenties van gebruikers om transacties snel uit te voeren. Op Telegram gebaseerde bots zoals Bloom laten gebruikers tokens kopen en verkopen via chatopdrachten, en dat gemak hangt ervan af dat de dienst op elk moment transacties namens een gebruiker kan ondertekenen. De tijdlijn van 94 seconden illustreert de keerzijde van die snelheid: zodra ondertekeningstoegang wordt misbruikt, kunnen grootschalige overboekingen sneller verlopen dan detectie of interventie.

Blockchainanalyse bracht bovendien aan het licht dat meerdere getroffen wallets sinds begin 2025 inactief waren op Bloom. Dit suggereert dat eerder gebruikte tradingwallets kwetsbaar kunnen blijven wanneer hun privésleutels worden blootgesteld.

Bij de snapshot van het onderzoek op 26 oktober bevond zich nog ongeveer 9.408 SOL in een wallet onder controle van de aanvaller, zonder verdere overboekingen. Of die gelden worden verplaatst, hoe Blooms compensatieproces verloopt en wat de beoordeling van de externe aanbieder oplevert, zijn de belangrijkste ontwikkelingen om te volgen naarmate het onderzoek vordert.

Blooms compensatietoezegging kan getroffen handelaren helpen hun verliezen te recoveren. Het incident onderstreept echter het belang van het beschermen van privésleutels en het beperken van gelden in wallets die zijn gekoppeld aan geautomatiseerde handelsplatformen.

Bron: CryptoMeter io