Расследование компании блокчейн-аналитики Bitquery, опубликованное 26 октября, выявило вывод 9 408 SOL — примерно на 953 000 долларов на момент атаки — из 48 кошельков, связанных с торговым ботом Bloom. Согласно расследованию, половина затронутых кошельков не совершала сделок через Bloom в течение предшествующего месяца, а пять — с января по май 2025 года.

Bloom пообещал полное возмещение. В последующем заявлении, о котором сообщает AMBCrypto, компания связала инцидент с уязвимостью удалённого исполнения кода (remote code execution) в стороннем модуле и отрицала компрометацию приватных ключей. Подобная уязвимость позволяет злоумышленнику выполнять несанкционированный код внутри программной среды. Сторонний модуль, в свою очередь, — это компонент, который сервис встраивает, а не пишет самостоятельно: то есть уязвимость находилась вне кода, непосредственно написанного оператором, но внутри среды, которую он использует.

Старые торговые кошельки оставались в зоне досягаемости

Bitquery оценивала прежнее использование Bloom по платежам торговой комиссии. Отсутствие недавних комиссий не означает, что аккаунт был удалён, кошелёк отключён или прекратились все остальные транзакции.

Исследователи сгруппировали опустошённые адреса в девять трейдеров, причём две группы идентифицировались главным образом по порядку вывода средств. По данным Bloom, было затронуто 49 адресов у девяти пользователей, тогда как Bitquery насчитала 48 опустошённых кошельков.

Основной вывод средств прошёл с 01:03:07 до 01:04:41 UTC после предварительных тестов — менее двух минут между первым полным выводом и последним.

Для тех, кто покидает автоматизированный торговый сервис, ключевой вопрос — какой доступ сохраняется после последней сделки. Кошелё может по-прежнему хранить активы, пока инфраструктура, ранее использовавшаяся для подписания его транзакций, остаётся доступной. Месяцы без торговли сами по себе не доказывают, что этот доступ прекращён.

Подписи подтверждают право расходования, но не то, как оно было получено

Bitquery обнаружила обычные переводы SOL, содержащие собственную подпись каждого исходного кошелька, и не выявила ловушек в виде токен-аппрувалов при выводе средств. Согласно документации Solana по транзакциям, подписи авторизуют изменения в аккаунтах. Сеть проверяет эту авторизацию, но не может установить, намеревался ли владелец совершить платёж или кто-то злоупотребил сервисом, способным подписывать транзакции.

И украденный приватный ключ, и скомпрометированная система подписания могут создавать валидные подписи. Во втором случае злоумышленник может заставить ПО авторизовать перевод, не извлекая сам ключ. Это возможный механизм, а не независимо подтверждённое объяснение инцидента с Bloom.

Поэтому заявленное Bloom отрицание утечки ключей нельзя разрешить, ссылаясь лишь на подписи. Более полное техническое объяснение должно показать, как сторонний модуль получил доступ к процессу подписания и почему были затронуты именно эти кошельки.

Смена приложения кошелька не меняет ключи

Трейдеры могут убрать приложение из повседневного использования, оставив исходные учётные данные без изменений, и эффект для безопасности зависит от того, что именно заменяется. Согласно официальному руководству Phantom по миграции, существующую seed-фразу просто изменить нельзя; начать заново требует создания нового кошелька и перевода активов.

Та же проблема учётных данных применима к восстановлению скомпрометированной seed-фразы на новом устройстве: аппаратура меняется, но копия злоумышленника остаётся рабочей. Тот отдельный случай с Ledger предполагал иной метод атаки.

Отказ от кошелька означает проверку большего, чем баланс SOL

Phantom советует перед отказом от кошелька проверить токены, коллекционные предметы, стейкинг и позиции в DeFi. Некоторые активы требуют отмены стейкинга или вывода из приложения, прежде чем их можно будет переместить. Будущие депозиты также требуют нового адреса; иначе деньги могут продолжать поступать на стар учётные данные.

Существует важное исключение из обычных инструкций по миграции. Если средства исчезают сразу после депозита, возможно, активен автоматический «свипер». Руководство Phantom о свиперах предостерегает от добавления новых средств или попыток обогнать его. Расследование Bloom не устанавливает, что на каждом затронутом кошельке действовал такой свипер.

Хранение долгосрочных активов отдельно от торгового баланса бота ограничивает сумму, подвергаемую риску через этот сервис. Это также упрощает уход: пользователь может определить, что остаётся под автоматизированным доступом на подписание, вместо того чтобы считать неиспользуемый аккаунт выведенным из эксплуатации кошельком.

Для затронутых пользователей Bloom возмещение остаётся обещанием, пока платежи не подтверждены. Вопрос безопасности отдельный: какой несанкционированный доступ позволил осуществить выводы и что было изменено, чтобы предотвратить подписание новых транзакций?

Источник: Coindoo