Bloom, bot do handlu kryptowalutami działający w Telegramie, padł ofiarą poważnego incydentu bezpieczeństwa 26 października 2026 roku — atakujący wyciągnęli w ciągu zaledwie 94 sekund około 953 000 USD w Solanie (SOL) z 48 portfeli. Według analizy transakcji blockchain portfele te należały do dziewięciu traderów.

Bloom zobowiązał się do zwrotu środków wszystkim poszkodowanym użytkownikom, prowadząc jednocześnie dochodzenie w sprawie incydentu, w tym możliwości naruszenia bezpieczeństwa u dostawcy usługi zewnętrznej.

Atakujący przeprowadzają błyskawiczne opróżnienie portfeli Solana

Zapisy blockchain pokazują, że atakujący przelali około 9 408 SOL z portfeli powiązanych z Bloom. Operacja przebiegała według skoordynowanego schematu, co sugeruje użycie automatycznego skryptu. Atakujący najpierw przeprowadzili małe transakcje testowe, a następnie celowali w portfele o większych saldach, systematycznie opróżniając konta — główna operacja zakończyła się w ciągu 94 sekund.

Jeden portfel stracił około 1 636 SOL, warte wówczas około 166 000 USD, a sześć portfeli odpowiadało za około 61% łącznej wartości skradzionych kryptowalut.

Atakujący celowali w zasoby SOL, początkowo pozostawiając bez ruchu około 56 853 USD w USDC. Jeden z poszkodowanych traderów zdążył następnie przetransferować około 49 000 USD w USDC w bezpieczne miejsce, zanim kolejna próba wypłaty się powiodła.

Bloom obiecuje pełny zwrot środków

W odpowiedzi na incydent Bloom zobowiązał się do zwrotu środków dziewięciu poszkodowanym traderom, zapowiadając przelew środków zastępczych na nowe portfele wskazane przez ich właścicieli. Firma poinformowała również, że bada możliwość kompromitacji po stronie zewnętrznego dostawcy, choć dokładna przyczyna incydentu pozostaje niepotwierdzona.

Bloom utrzymuje, że jego klucze prywatne nie zostały skompromitowane. Niemniej analiza blockchain ujawniła transakcje autoryzowane kluczami prywatnymi poszkodowanych portfeli, co rodzi pytania o to, jak atakujący uzyskali dostęp do podpisywania transakcji. Śledczy nie ustalili, czy poświadczenia pochodziły z infrastruktury Bloom, od zewnętrznego dostawcy czy z innego źródła. Ustalenie, gdzie doszło do wycieku tych poświadczeń, pozostaje kluczowym otwartym pytaniem dochodzenia.

Rosnące obawy o bezpieczeństwo botów do handlu kryptowalutami

Incydent uwypukla ryzyko związane z automatycznymi usługami handlu kryptowalutami, które często utrzymują dostęp do poświadczeń portfeli użytkowników, aby szybko realizować transakcje. Boty działające w Telegramie, takie jak Bloom, pozwalają użytkownikom kupować i sprzedawać tokeny za pomocą komend czatowych, a ta wygoda zależy od możliwości podpisywania transakcji w imieniu użytkownika w dowolnym momencie. Harmonogram 94 sekund pokazuje drugą stronę tej szybkości: gdy dostęp do podpisywania zostanie nadużyty, transfery na dużą skalę mogą rozegrać się szybciej niż wykrycie czy interwencja.

Analiza blockchain ujawniła też, że kilka poszkodowanych portfeli pozostawało nieaktywnych na Bloom od początku 2025 roku. Sugeruje to, że wcześniej używane portfele transakcyjne mogą pozostawać podatne na atak, gdy ich klucze prywatne zostaną ujawnione.

Według stanu na migawkę śledztwa z 26 października około 9 408 SOL pozostawało w portfelu kontrolowanym przez atakującego bez dalszych transferów. To, czy środki zostaną przeniesione, jak przebiegnie proces zwrotów Bloom i co ujawni kontrola zewnętrznego dostawcy, to kluczowe wydarzenia, na które warto zwracać uwagę w miarę postępu dochodzenia.

Zobowiązanie Bloom do zwrotu środków może pomóc poszkodowanym traderom odzyskać straty. Incydent podkreśla jednak znaczenie ochrony kluczy prywatnych oraz ograniczania środków przechowywanych w portfelach połączonych z automatycznymi platformami handlowymi.

Źródło: CryptoMeter io