Hackers drenam 9.400 SOL de carteiras de bots, e uma chave copiada é culpada

Os relatórios de reconstrução da Bitquery indicam que 48 carteiras associadas ao Bloom, um serviço de negociação automatizado, perderam 9.408 SOL através de transferências assinadas pelas próprias chaves das carteiras.

O Bloom documenta um bloqueio que impede alterações no destino de retirada de um usuário, no entanto, uma chave copiada pode autorizar transferências fora dessa interface de serviço.

Em uma atualização de 26 de outubro, o Bloom negou que chaves privadas tivessem sido acessadas ou comprometidas. A conta atribuiu o incidente a uma vulnerabilidade de execução remota de código em um módulo de terceiros e afirmou que carteiras não afetadas estavam seguras.

Mais tarde, em 26 de outubro, o Bloom anunciou que todos os nove usuários afetados haviam sido totalmente reembolsados, totalizando 9.408 SOL e vinculando nove transações.

Isso deixa duas questões separadas para os usuários: compensação pela perda e a autoridade que poderia mover fundos de uma carteira.

O que o bloqueio de retirada controla

As perguntas frequentes do Bloom dizem aos usuários para manterem seu endereço de retirada bloqueado, afirmando que o endereço não pode ser alterado enquanto estiver bloqueado e que desbloquear inicia um período de espera de 24 horas antes que as alterações sejam permitidas.

O guia de retirada coloca Definir Endereço, Bloquear Endereço e Desbloquear Endereço no menu de Retirada, acessível a partir da tela inicial ou através do comando /withdraw. A salvaguarda documentada atrasa a substituição do destino usado nesse processo.

O bloqueio oferece a alguém com uma conta de serviço comprometida uma barreira contra a redireção de retiradas através desse processo.

A página inicial do produto do Bloom descreve os produtos Extension, Manager e Telegram como compartilhando um motor de execução. Quando a mesma chave de carteira é usada através de uma interface diferente, ela mantém a mesma autoridade sobre os fundos.

A Bitquery relata que os drenos completos ocorreram entre 01:03:07 e 01:04:41 UTC em 26 de outubro. Ela descreve cada um como uma transferência simples de SOL assinada apenas pela chave da carteira afetada, sem segundo signatário ou aprovação de token envolvida.

A documentação de transações da Solana explica que uma transação carrega instruções, assinaturas das contas que autorizam as alterações e um blockhash recente. Seu guia de assinatura diz que cada signatário necessário deve fornecer uma assinatura válida.

Para uma carteira controlada por uma chave privada, a posse dessa chave dá controle sobre seus fundos. Um atacante que a copiou poderia criar uma nova transferência para um destino diferente sem alterar o endereço de retirada salvo dentro de um serviço de negociação.

O bloqueio de retirada de 24 horas do Bloom bloqueia alterações de endereço, mas uma chave privada copiada ainda pode autorizar transferências de uma carteira comum.

O guia da Solana distingue manter uma chave local de solicitar assinaturas através de um gerenciamento de chaves ou backend de carteira gerenciada. Uma assinatura de chave de proprietário válida pode ser consistente com material de chave copiada ou uso indevido de um caminho de assinatura.

As assinaturas de chave de proprietário descritas pela Bitquery estão ao lado da negação do Bloom sobre o comprometimento da chave privada. Determinar qual caminho de assinatura foi abusado ajudaria a determinar se o incidente envolveu um segredo copiado ou acesso a um sistema que poderia assinar com ele.

Onde a autoridade de assinatura persiste

A idade das carteiras afetadas dá ao incidente uma consequência além dos usuários ativos de bots. A Bitquery descobriu que 24 das 48 carteiras não pagaram nenhuma taxa de negociação do Bloom no mês anterior, enquanto cinco pagaram uma entre janeiro e maio de 2025.

A Bitquery associou todas as 48 carteiras ao Bloom através de pagamentos de taxas anteriores e as agrupou em nove comerciantes. Ela reconheceu que dois desses grupos dependem principalmente da ordem de drenagem.

Se alguém copiou sua chave controladora, uma longa pausa na negociação não os impede de assinar uma nova transferência quando os fundos permanecem lá.

O dreno separado do TradeWiz oferece um exemplo datado de exposição persistente de assinatura, sem estabelecer uma causa compartilhada com o Bloom. A Bitquery data a varredura principal para 30 de setembro e conta 20.793 carteiras drenadas de SOL.

As negociações de bots que pagaram taxas pararam 41 minutos após o início da varredura, mas a Bitquery relata que o bot levou 73% do SOL da varredura principal depois.

Ela também relata que dois endereços drenados do TradeWiz receberam novos depósitos e foram esvaziados novamente em quatro segundos. Depositar em um endereço após sua chave controladora ter escapado pode colocar os novos fundos sob a autoridade do mesmo atacante.

Se uma única chave controladora escapou, mover ativos para uma nova carteira governada por uma chave não comprometida tira esses ativos da autoridade da chave antiga.

Mantenha a nova chave fora de qualquer ambiente de assinatura que o atacante ainda possa usar, uma vez que importar o mesmo segredo em outro aplicativo preserva a mesma autoridade, assim como retornar fundos ao antigo endereço.

Mudar o acesso a um serviço e mudar o controle sobre ativos têm efeitos diferentes. Um bloqueio de destino ainda pode proteger o processo de retirada do serviço, enquanto um reparo do lado do serviço pode abordar um caminho de assinatura comprometido. Nenhuma das ações pode apagar uma cópia de uma chave privada já mantida em outro lugar.

Em sua promessa de reembolso, o Bloom disse que os fundos iriam para carteiras seguras designadas pelos usuários afetados, e seu anúncio posterior diz que completou o reembolso.

Para os usuários avaliando uma antiga carteira de bot, a distinção chave é se mudaram onde fazem login ou a autoridade que governa os ativos. Quando uma chave foi copiada, uma nova interface deixa a antiga exposição em vigor. Uma nova chave não comprometida muda quem pode autorizar a próxima transferência.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.