Користувачі бота Bloom втратили $953 тис. за 94 секунди
Зловмисники вивели $953 000 із 48 гаманців дев'яти користувачів Telegram-бота Bloom за 94 секунди. Bloom звинувачує сторонній модуль і обіцяє повне відшкодування.
Редакція CryptoGroup · · 3 хв читання
Зловмисники лише за 94 секунди вивели близько $953 000 з гаманців, пов'язаних із Telegram-ботом для трейдингу Bloom, повідомила в понеділок Bitquery. Аналітична компанія нарахувала 48 гаманців дев'яти трейдерів, пише Cointelegraph. Bloom обіцяє повністю відшкодувати збитки всім постраждалим.
Що сталося
- Кожна крадіжка була переказом SOL, підписаним приватним ключем самого гаманця, за даними Bitquery, тобто нападник міг підписувати транзакції від імені користувачів.
- У пізнішій заяві Bloom пояснила атаку вразливістю віддаленого виконання коду в сторонньому модулі й заявила, що жоден приватний ключ не був отриманий чи скомпрометований. Повного розбору інциденту компанія поки не опублікувала.
- П'ять спустошених гаманців не використовувалися в боті з першої половини 2025 року.
Ці дві версії поки важко узгодити: переказ, підписаний ключем гаманця, зазвичай означає, що скомпрометовано щось, здатне цим ключем скористатися, навіть якщо сам ключ ніхто не копіював. Детальний звіт має це прояснити.
Чим ризиковані торгові боти
Telegram-боти на кшталт Bloom популярні для «снайпінгу» нових токенів і мемкоїнів у Solana, бо торгують за секунди. Для цього бот зберігає або контролює ваші приватні ключі на своїх серверах. Фактично це кастодіальний сервіс з усіма ризиками, які ми пояснюємо в гіді кастодіальні чи некастодіальні гаманці, і ризик не зникає, коли ви перестаєте користуватися ботом, — як показують неактивні гаманці в цій атаці.
Це не перший подібний випадок. У вересні 2024 року Banana Gun повідомила, що 11 користувачів утратили близько $3 млн, а в жовтні 2023-го користувачі Maestro та Unibot сукупно втратили $1,1 млн через експлойти роутер-контрактів ботів.
Що робити користувачам ботів
- Виведіть кошти, якими активно не торгуєте, на гаманець, який контролюєте лише ви.
- Спорожніть і покиньте старі гаманці ботів, якими більше не користуєтеся, не залишайте там навіть дрібних залишків чи токенів.
- Вважайте будь-який баланс у боті «гарячими» грошима, а довгострокові активи тримайте в холодному зберіганні.
Часті запитання
Скільки вкрали в користувачів Bloom?
Близько $953 000 з 48 гаманців дев'яти користувачів, виведених за 94 секунди, за даними, які Bitquery оприлюднила 26 жовтня.
Чи відшкодує Bloom збитки?
Bloom заявила, що повністю відшкодує збитки всім постраждалим трейдерам. На момент публікації детальних строків компенсації не оголошено.
Чи були вкрадені приватні ключі?
Bloom стверджує, що доступу до ключів не було, і звинувачує вразливість віддаленого виконання коду в сторонньому модулі. Bitquery каже, що кожне виведення підписане приватним ключем гаманця, тож нападник щонайменше міг використати ключі для підпису транзакцій.
Чи безпечні торгові боти в Telegram?
Вони несуть додатковий ризик, бо бот контролює ваші приватні ключі на своїх серверах. Тримайте в них лише невеликі торгові суми, а решту переведіть на гаманець, який контролюєте самі.
Матеріал має лише інформаційний характер і не є фінансовою порадою. Криптоактиви волатильні — ухвалюйте рішення самостійно. Застереження
Більше: Безпека
Усі →Читайте далі
Біткоїн-ETF залучили $110 млн, Galaxy бачить фазу накопичення
Біткоїн-ETF у США залучили $110 млн після відтоку $774 млн, але жовтень досі в мінусі на ~$202 млн. Galaxy вважає, що ведмежий ринок скінчився в червні.
Firedancer бере 1 SOL за кожен баг-репорт через ШІ-спам
Клієнт Solana від Jump, Firedancer, вимагає спалювати 1 SOL (~$100) за кожен звіт про баг: аудит-конкурс зібрав 809 звітів, здебільшого з ШІ, і лише 127 знахідок.
Як переказати гроші за кордон у стейблкоїнах: покроково
Як переказати гроші за кордон у стейблкоїнах: порівняння з банком і сервісами переказів, вибір монети й мережі, безпечне надсилання та виведення в місцеву валюту.