Взлом Bloom: как украли $947 тыс. в SOL и что известно сейчас

В ночь на 26 октября из 49 кошельков девяти пользователей Telegram-бота Bloom, который торгует в сетях Solana и EVM, ушло около 9 408 SOL. По оценке самой Bloom, это примерно $947 000. Компания объясняет взлом уязвимостью удалённого выполнения кода (RCE) в стороннем модуле и обещает вернуть пострадавшим всё. Похищенные монеты на момент последней проверки лежат на адресе злоумышленника.

Что известно сейчас

• Пострадали 49 адресов девяти пользователей, потери около 9 408 SOL (≈$947 000), сообщила Bloom.
• По версии Bloom, причина — уязвимость RCE в стороннем модуле. Приватные ключи, по её словам, не раскрывались, остальные кошельки в безопасности. Какой это модуль, компания не назвала, технического разбора пока нет.
• Bloom обещает вернуть 100% украденного на новые безопасные кошельки, которые укажут пострадавшие. Сроков выплат она не называла.
• Всё похищенное, 9 408,21 SOL, одним переводом ушло на второй адрес злоумышленника и, по данным блокчейна на 21:15 МСК 26 октября, до сих пор лежит там. На биржи, мосты и в миксеры монеты не отправлялись.
• О заморозках, награде за возврат и личности атакующего сообщений нет. Bloom пишет, что отслеживает средства и ищет способы их вернуть или заморозить.

Как это произошло

Торговые боты в Telegram держат кошельки пользователей у себя и подписывают сделки от их имени: человек пишет команду в чат, а бот сам отправляет транзакцию. Поэтому ошибка в одном компоненте бота может открыть доступ сразу ко многим кошелькам.

Bloom описывает атаку как «сложную уязвимость удалённого выполнения кода» в стороннем модуле. Это значит, что злоумышленник смог запустить свой код в инфраструктуре бота. По словам компании, сами приватные ключи атакующему не достались. Как в таком случае были подписаны переводы с 49 адресов, Bloom не объяснила. Независимой проверки этой версии пока нет.

Хроника

26 октября, 03:59 МСК. Адрес 7kY8…p8BQ совершает первую транзакцию. Основная серия переводов на него проходит с 04:04 до 04:09 МСК (данные блокчейна Solana).

26 октября, 07:26 МСК. Аналитический аккаунт Onchain Lens сообщает, что этот адрес собрал 9 408 SOL с 49 кошельков пользователей Bloom (по его оценке, $954 000). Самая крупная потеря — 1 636 SOL (≈$166 000). Onchain Lens предупреждает, что итог может оказаться заметно больше, и советует пользователям перевести средства на новые кошельки.

26 октября, 07:30 МСК. Все 9 408,21 SOL одним переводом уходят с первого адреса на второй — 6nYy…moe9 (данные блокчейна Solana).

26 октября, 12:12 МСК. Bloom публикует официальное заявление. В нём: 49 адресов девяти пользователей, около 9 408 SOL ($947 000), уязвимость RCE в стороннем модуле, ключи не раскрывались. Компания обещает вернуть пострадавшим всё и пытается отследить средства.

26 октября, днём. Bloomingbit и Blockchain Reporter пишут, что Bloom временно отключила свои системы. В заявлении Bloom в X этого нет.

26 октября, 21:15 МСК. Похищенные SOL по-прежнему на втором адресе злоумышленника, новых заявлений Bloom нет.

Куда ушли деньги

Схема пока простая. С 49 кошельков монеты собрали на одном адресе, примерно через три с половиной часа после атаки и через несколько минут после поста Onchain Lens всю сумму перевели на новый адрес. Там она и лежит: по данным обозревателя блоков, на 21:15 МСК баланс адреса — 9 408,21 SOL. Переводов на биржи, в кроссчейн-мосты или миксеры мы не видим. Обычно с таких адресов деньги начинают выводить позже, поэтому их движение отслеживают расследователи и биржи.

Что сделали команда и биржи

Bloom признала взлом примерно через восемь часов после атаки и почти через пять часов после поста Onchain Lens. Компания обещает возместить 100% потерь напрямую на кошельки, которые укажут пострадавшие, и работает над тем, чтобы найти атакующего и заморозить средства. Команда подчёркивает, что пишет софт с 2018 года и работает в криптоиндустрии с 2021-го.

Публичных заявлений бирж о заморозке средств и разборов от PeckShield, CertiK, SlowMist, Cyvers или ZachXBT на момент публикации нет.

Что это значит для держателей

Пострадавшим Bloom обещает полный возврат, но сроков и порядка выплат пока не назвала. Остальным пользователям компания пишет, что их кошельки в безопасности. Onchain Lens при этом советовал перевести средства на новые кошельки, не связанные с ботом. Для рынка Solana сумма небольшая. Главный вопрос — какой сторонний модуль оказался уязвим и пользуются ли им другие боты.

Подробности первых часов — в нашей новости, живая цена SOL — на странице Solana.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 26 октября, 21:30 МСК.