TL;DR
- Bitquery rastreó 9.408 SOL, aproximadamente $953.000, desde 48 monederos vinculados a Bloom pertenecientes a nueve operadores, con la secuencia completa de extracción completada en solo 94 segundos.
- Cada transferencia fue firmada por la clave propia del monedero de origen, lo que demuestra autoridad de firma criptográfica válida, aunque la investigación no estableció cómo el atacante obtuvo ese acceso.
- La mitad de los monederos no habían operado a través de Bloom durante un mes, mientras que cinco habían estado inactivos desde principios de 2025.
Bitquery rastreó un rápido drenaje coordinado que afectó a usuarios del bot de operaciones Bloom en Solana, encontrando que 48 monederos pertenecientes a nueve operadores perdieron 9.408 SOL, valorados en aproximadamente $953.000. Su investigación en la cadena reveló que las transferencias ocurrieron en solo 94 segundos el 26 de octubre. El incidente combinó acceso concentrado a monederos con una secuencia de retiros programada y excepcionalmente rápida, destacando los riesgos de custodia asociados a herramientas automatizadas que operan en la Solana blockchain.
Las transferencias firmadas no resuelven la causa raíz
El atacante primero envió pequeñas transferencias de prueba desde un monedero vinculado a cada trader antes de comenzar el drenaje principal. Bitquery encontró el script y luego vació los monederos trader por trader, generalmente moviéndose desde el saldo más grande hacia abajo. La secuencia indica que el atacante había organizado los monederos objetivo antes de ejecutar los retiros, en lugar de descubrir direcciones aleatoriamente durante el ataque. Seis monederos representaron el 61% del SOL robado, mientras que la pérdida más pequeña entre los nueve traders fue de 650 SOL y el monedero drenado con mediana perdió aproximadamente $9,000 durante la secuencia de ataque coordinada. Un énfasis similar en la exposición de credenciales ha aparecido en incidentes previos de seguridad de bots de trading en Solana.
Cada transferencia fue una transferencia estándar de SOL firmada con la clave propia del monedero origen, sin aprobación de token, contrato inteligente ni firmante adicional involucrado. Por lo tanto, Bitquery concluyó que quien ejecutó las transferencias poseía autoridad de firma para esos monederos. La cadena de bloques prueba una autorización válida basada en claves, pero no establece cómo se obtuvo esa autoridad. Bloom dijo que estaba investigando si un proveedor de terceros había sido comprometido, mientras que la causa subyacente seguía sin confirmarse.
La antigüedad de algunos monederos afectados añadió otra dimensión. La mitad de los 48 monederos no habían operado a través de Bloom durante el mes anterior, mientras que cinco no habían operado a través de Bloom desde la primera mitad de 2025. La actividad de monederos más antiguos siguió expuesta a pesar de largos intervalos sin operar en Bloom, reforzando las preocupaciones sobre credenciales persistentes en servicios automatizados y reflejando los riesgos creados cuando el acceso al monedero se ve comprometido.
El atacante movió solo SOL durante el drenaje principal, dejando aproximadamente $57,000 en USDC atrás. Casi todos los 9,408 SOL luego permanecieron en un solo monedero de retención sin moverse más cuando Bitquery lo verificó. Bloom dijo que reembolsaría completamente a los usuarios afectados y suspendió el comercio tras el incidente. El caso deja sin resolver la pregunta central de seguridad: cómo el acceso de firma a monederos, incluidos los de largo tiempo inactivos, se volvió disponible para el atacante, una preocupación también vista en otras brechas de monederos automatizados.