Gli hacker svuotano 9.400 SOL dai portafogli bot, e si incolpa una chiave copiato

I rapporti di ricostruzione di Bitquery indicano che 48 portafogli associati a Bloom, un servizio di trading automatizzato, hanno perso 9.408 SOL tramite trasferimenti firmati dalle chiavi dei portafogli stessi.

Bloom documenta un blocco che impedisce modifiche alla destinazione di prelievo di un utente, tuttavia una chiave copiato può autorizzare trasferimenti al di fuori di quell'interfaccia di servizio.

In un aggiornamento del 26 ottobre, Bloom ha negato che le chiavi private siano state accessibili o compromesse. L'account ha attribuito l'incidente a una vulnerabilità di esecuzione di codice remoto in un modulo di terze parti e ha affermato che i portafogli non colpiti erano al sicuro.

Successivamente, il 26 ottobre, Bloom ha annunciato che tutti e nove gli utenti colpiti erano stati completamente rimborsati, rivendicando un totale di 9.408 SOL e collegando nove transazioni.

Ciò lascia due questioni separate per gli utenti: il risarcimento per la perdita e l'autorità che potrebbe spostare fondi da un portafoglio.

Cosa controlla il blocco del prelievo

Le FAQ di Bloom dicono agli utenti di mantenere bloccato il proprio indirizzo di prelievo, affermando che l'indirizzo non può essere cambiato mentre è bloccato e che lo sblocco inizia un periodo di raffreddamento di 24 ore prima che siano consentite modifiche.

La guida al prelievo posiziona Imposta Indirizzo, Blocca Indirizzo e Sblocca Indirizzo nel menu Prelievo, accessibile dalla schermata principale o tramite il comando /withdraw. La salvaguardia documentata ritarda la sostituzione della destinazione utilizzata in quel processo.

Il blocco fornisce a qualcuno con un account di servizio compromesso una barriera contro la reindirizzazione del prelievo attraverso quel processo.

La homepage del prodotto di Bloom descrive i prodotti Extension, Manager e Telegram come condividenti un motore di esecuzione. Quando la stessa chiave del portafoglio viene utilizzata attraverso un'interfaccia diversa, mantiene la stessa autorità sui fondi.

Bitquery riporta che i prelievi completi sono avvenuti dalle 01:03:07 alle 01:04:41 UTC del 26 ottobre. Descrive ciascuno come un semplice trasferimento di SOL firmato solo dalla chiave del portafoglio colpito, senza secondo firmatario o approvazione di token coinvolti.

La documentazione delle transazioni della Solana Foundation spiega che una transazione porta istruzioni, firme degli account che autorizzano le modifiche e un recente blockhash. La sua guida alla firma afferma che ogni firmatario richiesto deve fornire una firma valida.

Per un portafoglio controllato da una chiave privata, il possesso di quella chiave conferisce il controllo sui suoi fondi. Un attaccante che l'avesse copiata potrebbe creare un nuovo trasferimento verso una destinazione diversa senza cambiare l'indirizzo di prelievo salvato all'interno di un servizio di trading.

Il blocco del prelievo di 24 ore di Bloom impedisce le modifiche agli indirizzi, ma una chiave privata copiato può comunque autorizzare trasferimenti da un portafoglio normale.

La guida di Solana distingue il possesso di una chiave locale dalla richiesta di firme tramite un backend di gestione delle chiavi o portafoglio gestito. Una firma valida della chiave del proprietario può essere coerente con materiale di chiave copiato o abuso di un percorso di firma.

Le firme della chiave del proprietario descritte da Bitquery si affiancano alla negazione di Bloom della compromissione della chiave privata. Determinare quale percorso di firma sia stato abusato determinerebbe se l'incidente ha coinvolto un segreto copiato o l'accesso a un sistema che potrebbe firmare con esso.

Dove persiste l'autorità di firma

L'età dei portafogli colpiti conferisce all'incidente una conseguenza oltre gli utenti attivi del bot. Bitquery ha scoperto che 24 dei 48 portafogli non avevano pagato alcuna commissione di trading a Bloom nel mese precedente, mentre cinque hanno pagato l'ultima tra gennaio e maggio 2025.

Bitquery ha associato tutti e 48 i portafogli a Bloom attraverso pagamenti di commissione precedenti e li ha raggruppati in nove trader. Ha riconosciuto che due di quei gruppi si basano principalmente sull'ordine di drenaggio.

Se qualcuno ha copiato la chiave di controllo, una lunga pausa nel trading non impedisce loro di firmare un nuovo trasferimento quando i fondi rimangono lì.

Il drenaggio separato di TradeWiz offre un esempio datato di esposizione persistente alla firma, senza stabilire una causa condivisa con Bloom. Bitquery data il prelievo principale al 30 settembre e conta 20.793 portafogli drenati di SOL.

Le operazioni di trading con bot che pagano commissioni si sono fermate 41 minuti dopo l'inizio del prelievo, ma Bitquery riporta che il bot ha preso il 73% del SOL del prelievo principale successivamente.

Riporta anche che due indirizzi TradeWiz drenati hanno ricevuto nuovi depositi e sono stati svuotati di nuovo entro quattro secondi. Depositare in un indirizzo dopo che la sua chiave di controllo è fuggita può mettere i nuovi fondi sotto l'autorità dello stesso attaccante.

Se una sola chiave di controllo è fuggita, spostare le risorse su un nuovo portafoglio governato da una chiave non compromessa porta quelle risorse al di fuori dell'autorità della vecchia chiave.

Mantieni la nuova chiave al di fuori di qualsiasi ambiente di firma che l'attaccante può ancora utilizzare, poiché importare lo stesso segreto in un'altra app preserva la stessa autorità, così come restituire fondi all'indirizzo vecchio.

Cambiare l'accesso a un servizio e cambiare il controllo sulle risorse hanno effetti diversi. Un blocco di destinazione può comunque proteggere il processo di prelievo del servizio, mentre una riparazione lato servizio può affrontare un percorso di firma compromesso. Nessuna delle due azioni può cancellare una copia di una chiave privata già detenuta altrove.

Nella sua promessa di rimborso, Bloom ha affermato che i fondi sarebbero andati a portafogli sicuri designati dagli utenti colpiti, e il suo annuncio successivo afferma che ha completato il rimborso.

Per gli utenti che valutano un vecchio portafoglio bot, la distinzione chiave è se hanno cambiato dove accedono o l'autorità che governa le risorse. Quando una chiave è stata copiata, una nuova interfaccia lascia l'esposizione vecchia in atto. Una nuova chiave non compromessa cambia chi può autorizzare il prossimo trasferimento.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.