Bloom компенсирует $953 тыс., выведенные хакерами из 48 кошельков трейдеров
Telegram-бот Bloom пообещал полностью возместить убытки девяти трейдеров, у которых за 94 секунды были выведены $953 тыс. с 48 кошельков. По данным Bitquery, каждый вывод был переводом SOL в сети Solana, подписанным приватным ключом кошелька.
Главное в цифрах
- Сумма вывода: $953 тыс.
- Количество пострадавших кошельков: 48
- Количество пострадавших трейдеров: 9
- Время атаки: 94 секунды
- Сумма ущерба Banana Gun в сентябре 2024 года: около $3 млн
По данным аналитической компании Bitquery, атака заняла меньше двух минут. Всего было выведено $953 тыс. из 48 криптокошельков, принадлежащих девяти трейдерам, которые пользовались ботом. Bitquery сообщила об этом в понедельник.
Bloom пообещала возместить убытки всем пострадавшим трейдерам в полном объёме. В более позднем заявлении в понедельник компания связала атаку с уязвимостью удалённого выполнения кода в стороннем модуле и заявила, что приватные ключи не были получены или скомпрометированы.
Почему вопросы остаются
Торговые боты вроде Bloom хранят приватные ключи пользователей, чтобы торговать от их имени. Из-за этого риски сохраняются даже после того, как трейдер перестаёт пользоваться сервисом. Bitquery сообщила, что пять кошельков, с которых были выведены средства, не использовались в боте с первой половины 2025 года.
Bitquery также указала, что каждый вывод был переводом SOL, подписанным приватным ключом кошелька. Таким образом, подпись означает доступ к ключу, и версия Bloom об отсутствии компрометации ключей вызывает вопросы.
Контекст
Это не первый случай, когда пользователи Telegram-ботов теряют средства. В сентябре 2024 года Banana Gun сообщила, что 11 пользователей потеряли около $3 млн. В октябре 2023 года пользователи ботов Maestro и Unibot вместе потеряли $1,1 млн из-за эксплойтов в их контрактах-маршрутизаторах.
Для пользователей подобных сервисов это напоминание: ключи остаются у сервиса даже после отказа от его использования.
