Пользователи бота Bloom потеряли $953 тыс. за 94 секунды
Злоумышленники вывели $953 000 из 48 кошельков девяти пользователей Telegram-бота Bloom за 94 секунды. Bloom винит сторонний модуль и обещает полное возмещение.
Редакция CryptoGroup · · 3 мин чтения
Злоумышленники всего за 94 секунды вывели около $953 000 из кошельков, связанных с Telegram-ботом для трейдинга Bloom, сообщила в понедельник Bitquery. Аналитическая компания насчитала 48 кошельков девяти трейдеров, пишет Cointelegraph. Bloom обещает полностью возместить убытки всем пострадавшим.
Что произошло
- Каждая кража была переводом SOL, подписанным приватным ключом самого кошелька, по данным Bitquery, то есть атакующий мог подписывать транзакции от имени пользователей.
- В более позднем заявлении Bloom объяснила атаку уязвимостью удалённого выполнения кода в стороннем модуле и заявила, что ни один приватный ключ не был получен или скомпрометирован. Полного разбора инцидента компания пока не опубликовала.
- Пять опустошённых кошельков не использовались в боте с первой половины 2025 года.
Эти две версии пока сложно согласовать: перевод, подписанный ключом кошелька, обычно означает, что скомпрометировано что-то, способное этим ключом воспользоваться, даже если сам ключ никто не копировал. Подробный отчёт должен это прояснить.
Чем рискованны торговые боты
Telegram-боты вроде Bloom популярны для «снайпинга» новых токенов и мемкоинов в Solana, потому что торгуют за секунды. Для этого бот хранит или контролирует ваши приватные ключи на своих серверах. Фактически это кастодиальный сервис со всеми рисками, которые мы объясняем в гайде кастодиальные или некастодиальные кошельки, и риск не исчезает, когда вы перестаёте пользоваться ботом, — как показывают неактивные кошельки в этой атаке.
Это не первый подобный случай. В сентябре 2024 года Banana Gun сообщила, что 11 пользователей потеряли около $3 млн, а в октябре 2023-го пользователи Maestro и Unibot в сумме потеряли $1,1 млн из-за эксплойтов роутер-контрактов ботов.
Что делать пользователям ботов
- Выведите средства, которыми активно не торгуете, на кошелёк, который контролируете только вы.
- Опустошите и забросьте старые кошельки ботов, которыми больше не пользуетесь, не оставляйте там даже мелких остатков или токенов.
- Считайте любой баланс в боте «горячими» деньгами, а долгосрочные активы держите в холодном хранении.
Частые вопросы
Сколько украли у пользователей Bloom?
Около $953 000 из 48 кошельков девяти пользователей, выведенных за 94 секунды, по данным, которые Bitquery опубликовала 26 октября.
Возместит ли Bloom убытки?
Bloom заявила, что полностью возместит убытки всем пострадавшим трейдерам. На момент публикации подробных сроков компенсации не объявлено.
Были ли украдены приватные ключи?
Bloom утверждает, что доступа к ключам не было, и винит уязвимость удалённого выполнения кода в стороннем модуле. Bitquery говорит, что каждый вывод подписан приватным ключом кошелька, так что атакующий как минимум мог использовать ключи для подписи транзакций.
Безопасны ли торговые боты в Telegram?
Они несут дополнительный риск, потому что бот контролирует ваши приватные ключи на своих серверах. Держите в них только небольшие торговые суммы, а остальное переведите на кошелёк, который контролируете сами.
Материал носит информационный характер и не является финансовой рекомендацией. Криптоактивы волатильны — принимайте решения самостоятельно. Оговорка
Ещё: Безопасность
Все →Читайте дальше
Биткоин-ETF привлекли $110 млн, Galaxy видит фазу накопления
Биткоин-ETF в США привлекли $110 млн после оттока $774 млн, но октябрь всё ещё в минусе на ~$202 млн. Galaxy считает, что медвежий рынок закончился в июне.
Firedancer берёт 1 SOL за каждый баг-репорт из-за ИИ-спама
Клиент Solana от Jump, Firedancer, требует сжигать 1 SOL (~$100) за каждый отчёт о баге: аудит-конкурс собрал 809 отчётов, в основном с ИИ, и лишь 127 находок.
Как перевести деньги за границу в стейблкоинах: пошагово
Как перевести деньги за границу в стейблкоинах: сравнение с банком и сервисами переводов, выбор монеты и сети, безопасная отправка и вывод в местную валюту.