Коротко
- Bitquery відстежив 9 408 SOL, близько $953 000, з 48 гаманців, пов’язаних з Bloom, які належать дев’яти трейдерам, причому повна послідовність виведення була завершена лише за 94 секунди.
- Кожен переказ був підписаний власним ключем джерельного гаманця, що свідчить про дійсний криптографічний правомірний доступ, хоча в ході розслідування не було встановлено, як зловмисник отримав цей доступ.
- Половина гаманців не здійснювали торгівлю через Bloom протягом місяця, а п’ять були неактивні з початку 2025 року.
Bitquery виявив швидке координоване виведення коштів серед користувачів торгового бота Bloom на Solana: 48 гаманців дев’яти трейдерів втратили 9 408 SOL, що становить близько $953 000. Його он-чейн-дослідження показало, що перекази відбулися лише за 94 секунди 26 жовтня. Інцидент поєднав концентрований доступ до гаманців і незвичайно швидку, скриптовану послідовність виведення, що підкреслює ризики зберігання коштів при використанні автоматизованих інструментів на Solana blockchain.
Підписані перекази не вирішують корінну причину
Зловмисник спочатку відправив невеликі тестові перекази з одного гаманця, пов’язаного з кожним трейдером, перш ніж розпочати основне виведення. Bitquery виявив скрипт, а потім порожнів гаманці трейдер за трейдером, зазвичай рухаючись від найбільшого балансу до меншого. Послідовність свідчить про те, що зловмисник організував цільові гаманці до виконання виведень, а не випадково виявляв адреси під час атаки. Шість гаманців становили 61% вкраденого SOL, тоді як найменші втрати серед дев’яти трейдерів склали 650 SOL, а медіанний виведений гаманець втратив близько 9 000 доларів під час координованої атаки. Подібний акцент на витоку облікових даних з’являвся й у попередніх інцидентах безпеки торгівельних ботів Solana.
Кожен переказ був стандартним переказом SOL, підписаним власним ключем джерельного гаманця, без затвердження токенів, смартконтракту чи додаткового підписувача. Bitquery зробив висновок, що особа, яка виконала перекази, мала повноваження на підпис для цих гаманців. Блокчейн підтверджує дійсну авторизацію на основі ключів, але не встановлює, як було отримано це повноваження. Bloom сказав, що розслідує, чи не було скомпрометовано стороннього провайдера, тоді як основна причина залишається непідтвердженою.
Вік деяких пошкоджених гаманців додав ще один вимір. Половина з 48 гаманців не здійснювала угод через Bloom протягом минулого місяця, а п’ять — не здійснювали угод через Bloom з першої половини 2025 року. Діяльність старіших гаманців залишалася вразливою, незважаючи на довгі перерви в торгівлі через Bloom, що підсилює занепокоєння щодо збереження облікових даних у автоматизованих сервісах і підтверджує загальні ризики, що виникають, коли доступ до гаманця скомпрометовано.
Зловмисник перемістив лише SOL під час основного виведення, залишивши близько 57 000 доларів США в USDC. Майже всі 9 408 SOL пізніше знаходилися в одному зберігальному гаманці без подальших рухів, коли їх перевірила Bitquery. Bloom заявила, що повністю компенсує постраждалих користувачів і призупинила торгівлю після інциденту. Цей випадок залишає нерозв’язаним центральне питання безпеки: як зловмисник отримав доступ до підпису гаманців, включаючи ті, що довго не використовувалися — ця проблема також спостерігалася в інших автоматизованих порушеннях гаманців.