TL;DR
- Bitquery a traqué 9 408 SOL, soit environ 953 000 $, à partir de 48 portefeuilles liés à Bloom appartenant à neuf traders, la séquence complète de vidange ayant été terminée en seulement 94 secondes.
- Chaque transfert a été signé par la clé propre au wallet d'origine, démontrant une autorité de signature cryptographique valide, bien que l'enquête n'ait pas établi comment l'attaquant a obtenu cet accès.
- La moitié des wallets n'avaient pas effectué de transactions via Bloom depuis un mois, tandis que cinq étaient inactifs depuis début 2025.
Bitquery a traqué un retrait coordonné rapide impliquant des utilisateurs du trading-bot Bloom sur Solana, constatant que 48 wallets appartenant à neuf traders ont perdu 9 408 SOL, d'une valeur d'environ 953 000 $ . Son enquête sur la chaîne a révélé que les transferts ont eu lieu en seulement 94 secondes le 26 octobre. L'incident combinait un accès concentré aux wallets avec une séquence de retrait scriptée inhabituellement rapide, mettant en lumière les risques de custody liés aux outils automatisés opérant sur la Solana blockchain.
Les transferts signés ne résolvent pas la cause racine
L'attaquant a d'abord effectué de petites transferts de test depuis un wallet lié à chaque trader avant de commencer le retrait principal. Bitquery a identifié le script, puis vidé les wallets trader par trader, en général en partant du solde le plus élevé vers les plus faibles. La séquence indique que l'attaquant avait organisé les wallets ciblés avant d'exécuter les retraits, plutôt que de découvrir les adresses au hasard pendant l'attaque. Six wallets représentent 61 % du SOL volé, tandis que la perte la plus faible parmi les neuf traders s'élève à 650 SOL et le wallet moyen vidé a perdu environ 9 000 $ pendant la séquence d'attaque coordonnée. Une attention similaire à l'exposition des identifiants a été observée dans les précédents incidents de sécurité liés aux bots de trading Solana.
Chaque transfert était un transfert SOL standard signé avec la clé propre au wallet d'origine, sans autorisation de jeton, contrat intelligent ou signataire supplémentaire impliqué. Bitquery a donc conclu que la personne ayant exécuté les transferts détenait l'autorité de signature pour ces wallets. La blockchain prouve une autorisation valide basée sur les clés, mais ne permet pas d'établir comment cette autorité a été obtenue. Bloom a déclaré qu'elle enquêtait sur la possibilité qu'un fournisseur tiers ait été compromis, tandis que la cause sous-jacente restait non confirmée.
L'ancienneté de certains portefeuilles affectés a ajouté une autre dimension. La moitié des 48 portefeuilles n'avaient pas effectué de transactions via Bloom au cours du mois précédent, tandis que cinq n'avaient pas effectué de transactions via Bloom depuis le premier semestre 2025. L'activité des portefeuilles plus anciens est restée exposée malgré de longues périodes sans transactions sur Bloom, renforçant les préoccupations concernant des identifiants persistants dans les services automatisés et résonnant avec les risques créés lorsque l'accès au portefeuille est compromis.
L'attaquant a déplacé uniquement du SOL lors du retrait principal, laissant environ 57 000 $ en USDC. Presque tous les 9 408 SOL se sont ensuite retrouvés dans un seul wallet de détention sans être déplacés davantage lors du contrôle par Bitquery. Bloom a déclaré qu'il rembourserait intégralement les utilisateurs concernés et a suspendu les échanges après l'incident. Ce cas laisse la question centrale de la sécurité sans réponse : comment l'accès à la signature des wallets, y compris ceux non utilisés depuis longtemps, est-il devenu disponible pour l'attaquant, un problème également observé dans autres violations de wallets automatisés.