Hakerzy ukradli 953 000 dolarów z portfeli powiązanych z botem handlowym Bloom na Telegramie w mniej niż dwie minuty — według firmy analitycznej Bitquery — a platforma zobowiązała się do pełnego zwrotu środków dziewięciu poszkodowanym traderom.

Bitquery poinformowało w poniedziałek, że atak opróżnił 953 000 dolarów w ciągu 94 sekund z 48 kryptowalutowych portfeli należących do dziewięciu traderów, którzy korzystali z bota. Każde opróżnienie było transferem Solany (SOL) podpisanym kluczem prywatnym danego portfela, podała firma.

Bloom obwinia podatność w module zewnętrznym

Bloom zobowiązał się do pełnego zwrotu środków wszystkim poszkodowanym traderom. W oświadczeniu opublikowanym na X jeszcze w poniedziałek platforma przypisała atak podatności zdalnego wykonania kodu (remote code execution) w module zewnętrznym i oświadczyła, że żadne klucze prywatne nie zostały dostępne ani naruszone.

Zdalne wykonanie kodu należy do poważniejszych klas błędów oprogramowania, ponieważ pozwala atakującemu na uruchomienie dowolnego kodu na atakowanym systemie. Oświadczenie nie zawierało dalszych szczegółów technicznych eksploitu.

Model powierniczy pozostawia utrzymujące się ryzyko

Boty handlowe takie jak Bloom działają wewnątrz Telegrama, gdzie użytkownicy składają zlecenia za pomocą poleceń w czacie; aby je wykonywać, boty przechowują klucze prywatne użytkowników w ich imieniu — układ, który może pozostawiać ryzyko bezpieczeństwa nawet po zaprzestaniu korzystania z usługi. Bitquery zauważyło, że pięć z opróżnionych portfeli było nieaktywnych na bocie od pierwszej połowy 2025 roku, co oznacza, że ekspozycja objęła także konta, których właściciele dawno przestali aktywnie korzystać z bota.

Powtarzający się wzorzec ataków na boty handlowe na Telegramie

Ten incydent nie jest pierwszym przypadkiem utraty środków przez użytkowników botów handlowych na Telegramie w wyniku ataku. We wrześniu 2024 roku Banana Gun poinformował, że 11 użytkowników straciło około 3 miliony dolarów. W październiku 2023 roku użytkownicy botów handlowych na Telegramie Maestro i Unibot stracili łącznie 1,1 miliona dolarów w wyniku eksploitów ich kontraktów routera.

Incydent z Bloom, w przeciwieństwie do tego, wskazuje na moduł zewnętrzny, a nie na kontrakt routera, co podkreśla, że bezpieczeństwo botów wykracza poza kod on-chain. Uwaga skupia się teraz na tym, jak Bloom zrealizuje obietnicę zwrotu środków oraz jakie dalsze szczegóły dotyczące podatnego modułu ujawnią się.

Powiązane: Cysic oferuje 10% bounty, haker przelewa łupy do Tornado Cash

Źródło: Cointelegraph