TL;DR
- O Bitquery rastreou 9.408 SOL, cerca de $953.000, de 48 carteiras ligadas à Bloom pertencentes a nove traders, com a sequência completa de saque concluída em apenas 94 segundos.
- Cada transferência foi assinada pela chave própria da carteira de origem, demonstrando autoridade válida de assinatura criptográfica, embora a investigação não tenha estabelecido como o atacante obteve esse acesso.
- Metade das carteiras não havia negociado através do Bloom por um mês, enquanto cinco estavam inativas desde o início de 2025.
O Bitquery rastreou um esvaziamento coordenado e rápido envolvendo usuários do bot de negociação Bloom na Solana, descobrindo que 48 carteiras pertencentes a nove traders perderam 9.408 SOL, equivalentes a cerca de US$ 953.000. Sua investigação on-chain revelou que as transferências ocorreram em apenas 94 segundos em 26 de outubro. O incidente combinou acesso concentrado às carteiras com uma sequência de retirada automatizada e extremamente rápida, destacando riscos de custódia relacionados a ferramentas automatizadas operando na Solana blockchain.
Transferências assinadas não resolvem a causa raiz
O atacante primeiro enviou pequenas transferências de teste de uma carteira vinculada a cada trader antes de iniciar o principal esvaziamento. O Bitquery encontrou o script e esvaziou as carteiras trader por trader, geralmente movendo-se do maior saldo para os menores. A sequência indica que o atacante havia organizado as carteiras alvo antes de executar os saques, em vez de descobrir endereços aleatoriamente durante o ataque. Seis carteiras representaram 61% do SOL roubado, enquanto a menor perda entre os nove traders foi de 650 SOL e a carteira mediana esvaziada perdeu cerca de US$ 9.000 durante a sequência de ataque coordenada. Uma ênfase semelhante na exposição de credenciais apareceu em incidentes anteriores de segurança de bots de negociação Solana.
Cada transferência foi uma transferência padrão de SOL assinada com a chave própria da carteira de origem, sem aprovação de token, contrato inteligente ou signatário adicional envolvidos. A Bitquery concluiu, portanto, que quem executou as transferências possuía autoridade de assinatura para essas carteiras. A blockchain prova uma autorização válida baseada em chaves, mas não estabelece como essa autoridade foi obtida. Bloom disse que estava investigando se um provedor de terceiros havia sido comprometido, enquanto a causa subjacente permanecia não confirmada.
A idade de algumas carteiras afetadas adicionou outra dimensão. Metade das 48 carteiras não realizou negócios através do Bloom durante o mês anterior, enquanto cinco não tinham negociado através do Bloom desde o primeiro semestre de 2025. A atividade de carteiras mais antigas permaneceu exposta apesar dos longos intervalos nas negociações pelo Bloom, reforçando preocupações sobre credenciais persistentes em serviços automatizados e ecoando os riscos criados quando o acesso à carteira é comprometido.
O atacante movimentou apenas SOL durante o principal saque, deixando aproximadamente US$ 57.000 em USDC para trás. Quase todos os 9.408 SOL posteriormente permaneceram em uma única carteira de armazenamento sem se moverem mais quando o Bitquery os verificou. Bloom afirmou que reembolsaria integralmente os usuários afetados e suspendeu as negociações após o incidente. O caso deixa a questão central de segurança não resolvida: como o acesso de assinatura às carteiras, incluindo aquelas há muito não utilizadas, tornou-se disponível para o atacante, uma preocupação também observada em outras violações de carteiras automatizadas.