Хакеры вывели 9400 SOL с кошельков торгового бота Bloom, сервис полностью возместил потери

Компания Bitquery сообщила о выводе 9408 SOL с 48 кошельков, связанных с автоматизированным торговым сервисом Bloom. Среди пострадавших оказались и кошельки, которыми через бота давно не пользовались. Все переводы подписаны собственными ключами кошельков — без второго подписанта и без одобрения токенов.

По данным Bitquery, основная волна выводов прошла 26 октября с 01:03:07 до 01:04:41 UTC. В тот же день Bloom выступила с заявлением и опровергла взлом или компрометацию приватных ключей пользователей. Причиной инцидента сервис назвал уязвимость удалённого выполнения кода в стороннем модуле и заявил, что остальные кошельки в безопасности.

Позже в тот же день Bloom сообщила, что полностью возместила средства всем девяти пострадавшим пользователям — в общей сложности 9408 SOL по девяти транзакциям. Компания уточнила, что деньги направят на безопасные кошельки, которые указали сами пользователи.

Для вывода средств Bloom использует блокировку адреса: пока она активна, адрес нельзя изменить, а разблокировка запускает 24-часовую задержку. Но этот механизм защищает только вывод через интерфейс сервиса. Если ключ кошелька скопирован, злоумышленник может подписать перевод напрямую, минуя интерфейс Bloom и не меняя сохранённый адрес вывода.

Bitquery отметила: 24 из 48 затронутых кошельков не платили комиссию Bloom последний месяц, а пять — с января по май 2025 года. Значит, угроза касается не только активных пользователей бота: имея скопированный ключ, злоумышленник может подписать перевод в любой момент, независимо от активности кошелька.

Аналитики также указали на похожий случай с сервисом TradeWiz: 30 сентября средства вывели с 20 793 кошельков, а два адреса, получившие новые депозиты после вывода, опустошили повторно в течение четырёх секунд. Каким путём злоумышленники получили доступ к подписанию транзакций Bloom, пока не установлено.