TL;DR
- I-trace ng Bitquery ang 9,408 SOL, higit sa $953,000, mula sa 48 wallet na may kinalaman sa Bloom na nanggaling sa siyam na trader, at natapos ang buong proseso ng pagbawas sa loob ng 94 segundo.
- Ang bawat pag-transfer ay sinignahan ng sariling key ng source wallet, na nagpapakita ng wastong cryptographic signing authority, bagaman hindi matukoy ng imbestigasyon kung paano nakakuha ang attacker ng akses na iyon.
- Kalahati ng mga wallet ay hindi nagtrabaho sa Bloom sa isang buwan, habang lima ay nasa estado ng walang gawain mula sa maagang 2025.
I-trace ng Bitquery ang isang mabilis na pinagsasamang pagbawas na kasangkot ang mga gumagamit ng Bloom trading-bot sa Solana, at natuklasan na ang 48 na wallet ng mga trader ay nawalan ng 9,408 SOL, na may halagang humigit-kumulang $953,000. Ang kanilang on-chain investigation ay natukoy na ang mga pag-transfer ay naganap sa loob ng 94 segundo lamang noong Oktubre 26. Ang insidente ay naglalaman ng pinagsamang pag-access sa wallet at isang hindi karaniwang mabilis, iskriptadong proseso ng pag-withdraw, na nagpapakita ng mga panganib sa pagkakaroon ng kontrol sa mga automated tool na gumagana sa Solana blockchain.
Ang mga nag-sign na pag-transfer ay hindi nalulutas ang pangunahing sanhi
Una unang ipinadala ng attacker ang mga maliit na pagsubok na pag-transfer mula sa isang wallet na nakalink sa bawat trader bago simulan ang pangunahing pagbawas. Natagpuan ng Bitquery ang script, at tinanggal nito ang mga wallet trader by trader, karaniwang mula sa pinakamalaking balanse pababa. Ang pagkakasunod-sunod ay nagpapakita na may organisado ang attacker sa mga target na wallet bago isagawa ang mga pag-withdraw, kesa sa paghahanap ng mga address nang random habang nagtatapos ang pag-atake. Anim na wallet ang nagsisilbing 61% ng nasupil na SOL, habang ang pinakamaliit na pagkawala sa mga siyam na trader ay 650 SOL, at ang median na nasupil na wallet ay nawalan ng halos $9,000 sa panahon ng pinagsama-samang pag-atake. Lumabas ang parehong pagtutok sa pagpapakita ng credentials sa nakaraang mga insidente sa seguridad ng Solana trading-bot.
Ang bawat pag-transfer ay isang standard na SOL transfer na sinagutan ng sariling key ng source wallet, na walang token approval, smart contract o karagdagang signer na kasali. Kaya nagwakas ang Bitquery na ang sinumang nag-execute ng mga pag-transfer ay may pagkakaroon ng pagkakapanginoon sa pag-sign para sa mga wallet na iyon. Ang blockchain ay nagpapatotoo ng wastong pag-awtorisasyon batay sa key ngunit hindi ito nagtataglay kung paano natamo ang awtoridad na iyon. Sinabi ni Bloom na sinusuri nila kung ang isang third-party provider ay nasira, samantalang ang pangunahing sanhi ay nananatiling hindi kumpirmado.
Ang edad ng ilang naapektadong wallet ay nagdagdag ng isa pang dimensyon. Kalahati ng 48 na wallet ay hindi nagtrabaho sa Bloom noong nakaraang buwan, habang lima ay hindi nagtrabaho sa Bloom mula noong unang kalahati ng 2025. Ang mas matandang aktibidad ng wallet ay nanatiling eksposed sa kabila ng mahabang pagkakabagay sa pagtrabaho sa Bloom, na nagpapatibay sa mga alalahanin tungkol sa patuloy na credentials sa automated na serbisyo at nagpapahiwatig ng mas malawak na risks na nilikha kapag ang pag-access sa wallet ay napapagod.
Lumipat lang ang attacker ng SOL sa pangunahing pagbaba, at iniwan ang halos $57,000 sa USDC. Halos lahat ng 9,408 SOL ay naka-imbak sa isang wallet ng paghuhulma nang walang karagdagang paglipat nang sinuri ito ng Bitquery. Sinabi ni Bloom na buong babayaran nila ang mga naapektuhandong user at ipinahinto ang pag-trade pagkatapos ng insidente. Ang kaso ay nagiwan ng hindi pa nalulutas na pangunahing tanong sa seguridad: paano naging available sa attacker ang pag-sign ng access sa mga wallet, kabilang ang mga matagal nang hindi ginagamit, isang problema na rin na nakita sa ibang automated-wallet breaches.