Взлом ботов Bloom: 9 408 SOL утекли с 48 кошельков
С 48 кошельков сервиса автоматической торговли Bloom 26 октября вывели 9 408 SOL, сообщает Bitquery.
Аналитическая платформа Bitquery восстановила картину инцидента: 48 кошельков, связанных с сервисом автоматической торговли Bloom, потеряли 9 408 SOL. Все переводы были подписаны собственными ключами этих кошельков, пишет cryptonews.net.
Главное
- 48 кошельков Bloom потеряли 9 408 SOL 26 октября
- Слив шёл с 01:03:07 до 01:04:41 UTC, переводы подписаны ключами самих кошельков
- Bloom отрицает компрометацию приватных ключей и указывает на уязвимость стороннего модуля
- Все девять пострадавших пользователей получили полное возмещение на 9 408 SOL
- 24 из 48 кошельков не платили комиссию Bloom в предыдущий месяц
Слив средств происходил 26 октября с 01:03:07 до 01:04:41 UTC. По данным Bitquery, каждая операция представляла собой обычный перевод SOL, подписанный только ключом пострадавшего кошелька, без второго подписанта и без одобрения токенов.
В обновлении от 26 октября Bloom отверг версию о доступе к приватным ключам или их компрометации. Компания связала случившееся с уязвимостью удалённого выполнения кода в стороннем модуле и заявила, что незатронутые кошельки в безопасности. Позже в тот же день Bloom сообщил, что все девять пострадавших пользователей получили полное возмещение на общую сумму 9 408 SOL, и привёл девять транзакций.
Bloom описывает механизм блокировки адреса вывода: пока адрес заблокирован, изменить его нельзя, а разблокировка запускает 24-часовой период ожидания перед внесением изменений. Функции Set Address, Lock Address и Unlock Address находятся в меню Withdraw, доступном с главного экрана или через команду /withdraw. Однако такая защита действует только в рамках интерфейса сервиса: скопированный ключ позволяет подписывать переводы в обход него.
Продукты Bloom — Extension, Manager и Telegram — используют общий движок исполнения. Если один и тот же ключ кошелька применяется через другой интерфейс, он сохраняет те же полномочия над средствами. Документация Solana Foundation указывает, что для кошелька, управляемого одним приватным ключом, владение этим ключом даёт контроль над его средствами.
Bitquery выяснила, что 24 из 48 кошельков не платили торговую комиссию Bloom в предыдущий месяц, а пять последний раз платили её в период с января по май 2025 года. Все 48 кошельков были связаны с Bloom по прежним платежам комиссий и сгруппированы в девять трейдеров.
Отдельный случай TradeWiz приводится как пример сохраняющегося доступа к подписи: основную волну слива Bitquery датирует 30 сентября, тогда опустошили 20 793 кошелька. Торговля с оплатой комиссии прекратилась через 41 минуту после начала слива, но, по данным Bitquery, бот получил 73% SOL основной волны позже. Два опустошённых адреса TradeWiz получили новые депозиты и были снова очищены в течение четырёх секунд.
Что это значит
По данным cryptonews.net, инцидент затрагивает не только активных пользователей ботов: часть кошельков давно не торговала, но средства в них оставались доступны для подписи. Механизм блокировки адреса вывода защищает только процесс вывода внутри сервиса и не отменяет действия скопированного ключа. Разделение двух задач — смены доступа к сервису и смены контроля над активами — определяет, сохранится ли утечка после исправлений на стороне Bloom.
📢 Главные новости крипторынка — коротко и первыми в нашем Telegram-канале.
Читайте также
Источник: cryptonews.net