Коротко
- Bitquery отследил 9 408 SOL, около 953 000 долларов США, из 48 кошельков, связанных с Bloom, принадлежащих девяти трейдерам, причем полная последовательность изъятия была завершена всего за 94 секунды.
- Каждый перевод был подписан ключом исходного кошелька, что подтверждает корректную криптографическую подпись, хотя в ходе расследования не было установлено, как злоумышленник получил этот доступ.
- Половина кошельков не совершала сделок через Bloom в течение месяца, а пять были неактивны с начала 2025 года.
Bitquery выявила быстрое скоординированное хищение средств среди пользователей торгового бота Bloom на Solana: 48 кошельков девяти трейдеров потеряли 9 408 SOL, что составляет около 953 000 долларов США. Её ончейн-расследование показало, что переводы произошли всего за 94 секунды 26 октября. Инцидент сочетал в себе концентрацию доступа к кошелькам и необычно быструю, скриптовую последовательность вывода средств, что подчеркивает риски хранения средств при использовании автоматизированных инструментов на Solana blockchain.
Подписанные переводы не устраняют корневую причину
Злоумышленник сначала отправил небольшие тестовые переводы с одного кошелька, связанного с каждым трейдером, прежде чем начать основной вывод средств. Bitquery обнаружил скрипт, а затем опустошил кошельки по одному, обычно двигаясь от кошелька с наибольшим балансом к меньшим. Последовательность указывает на то, что злоумышленник заранее организовал целевые кошельки перед выполнением выводов, а не обнаруживал адреса случайным образом во время атаки. Шесть кошельков составили 61% украденного SOL, причем наименьший убыток среди девяти трейдеров составил 650 SOL, а медианный выведенный кошелек потерял около 9 000 долларов США во время скоординированной последовательности атаки. Подобный акцент на уязвимости учетных данных наблюдался и в предыдущих инцидентах безопасности торговых ботов Solana.
Каждый перевод был стандартным переводом SOL, подписанным собственным ключом исходного кошелька, без одобрения токена, смарт-контракта или дополнительного подписывающего лица. Bitquery пришла к выводу, что тот, кто выполнил переводы, обладал правом подписи для этих кошельков. Блокчейн подтверждает действительную авторизацию на основе ключа, но не устанавливает, как была получена эта авторизация. Bloom заявила, что расследует возможность компрометации стороннего провайдера, в то время как первопричина остается неподтвержденной.
Возраст некоторых затронутых кошельков добавил дополнительный измерение. Половина из 48 кошельков не совершала сделок через Bloom в течение предыдущего месяца, а пять — не совершали сделок через Bloom с первой половины 2025 года. Старая активность кошельков оставалась уязвимой, несмотря на длительные перерывы в торговле через Bloom, что усиливает опасения по поводу сохраняющихся учетных данных в автоматизированных сервисах и подтверждает более широкие риски, возникающие при компрометации доступа к кошельку.
Атакующий переместил только SOL во время основного вывода, оставив примерно 57 000 долларов США в USDC. Почти все 9 408 SOL позже находились на одном хранилищном кошельке и не двигались дальше, когда это проверила Bitquery. Bloom заявил, что полностью компенсирует пострадавших пользователей и приостановил торговлю после инцидента. Дело оставляет открытым центральный вопрос безопасности: как доступ к подписи кошельков, включая давно неиспользуемые, оказался у атакующего — проблема, также замеченная в других автоматизированных взломах кошельков.