Хакеры вывели 9,400 SOL из кошельков ботов, виноват скопированный ключ

Отчет о реконструкции Bitquery сообщает, что 48 кошельков, связанных с Bloom, автоматизированным торговым сервисом, потеряли 9,408 SOL через переводы, подписанные собственными ключами кошельков.

Bloom документирует блокировку, которая предотвращает изменения в адресе вывода пользователя, однако скопированный ключ может авторизовать переводы вне этого интерфейса сервиса.

В обновлении от 26 октября Bloom опровергла информацию о том, что приватные ключи были доступны или скомпрометированы. Аккаунт связал инцидент с уязвимостью удаленного выполнения кода в стороннем модуле и заявил, что не затронутые кошельки находятся в безопасности.

Позже, 26 октября, Bloom объявила, что все девять затронутых пользователей были полностью возмещены, заявив о сумме 9,408 SOL и связав девять транзакций.

Это оставляет два отдельных вопроса для пользователей: компенсация за убытки и полномочия, которые могут перемещать средства из кошелька.

Что контролирует блокировка вывода

Часто задаваемые вопросы Bloom сообщают пользователям о необходимости держать адрес вывода заблокированным, утверждая, что адрес не может быть изменен, пока он заблокирован, и что разблокировка запускает 24-часовой период ожидания перед тем, как изменения могут быть разрешены.

Руководство по выводу помещает Установить адрес, Заблокировать адрес и Разблокировать адрес в меню Вывод, доступное с главного экрана или через команду /withdraw. Документированная мера предосторожности задерживает замену назначения, используемого в этом процессе.

Блокировка предоставляет кому-то с скомпрометированным аккаунтом сервиса барьер против перенаправления вывода через этот процесс.

Домашняя страница продукта Bloom описывает продукты Extension, Manager и Telegram как использующие общий движок выполнения. Когда тот же ключ кошелька используется через другой интерфейс, он сохраняет те же полномочия над средствами.

Bitquery сообщает, что полные оттоки происходили с 01:03:07 до 01:04:41 UTC 26 октября. Он описывает каждую из них как простой перевод SOL, подписанный только ключом затронутого кошелька, без второго подписанта или одобрения токена.

Документация по транзакциям Фонда Solana объясняет, что транзакция содержит инструкции, подписи от аккаунтов, авторизующих изменения, и недавний блокхэш. Его руководство по подписанию говорит, что каждый необходимый подписант должен предоставить действительную подпись.

Для кошелька, контролируемого одним приватным ключом, обладание этим ключом дает контроль над его средствами. Атакующий, который скопировал его, мог бы создать новый перевод на другое назначение, не меняя адрес вывода, сохраненный внутри торгового сервиса.

24-часовая блокировка вывода Bloom блокирует изменения адресов, но скопированный приватный ключ все еще может авторизовать переводы из обычного кошелька.

Руководство Solana различает удержание локального ключа и запрос подписей через бэкенд управления ключами или управляемый кошелек. Действительная подпись владельца-ключа может быть совместима со скопированным ключевым материалом или неправильным использованием пути подписания.

Подписи владельца-ключа, описанные Bitquery, находятся рядом с отрицанием Bloom о компрометации приватного ключа. Определение того, какой путь подписания был использован, определит, был ли инцидент связан со скопированным секретом или доступом к системе, которая могла бы подписывать с его помощью.

Где сохраняется полномочие подписания

Возраст затронутых кошельков придает инциденту последствия, выходящие за рамки активных пользователей ботов. Bitquery обнаружил, что 24 из 48 кошельков не платили торговый сбор Bloom в предшествующий месяц, в то время как пять последний раз платили его между январем и маем 2025 года.

Bitquery связал все 48 кошельков с Bloom через более ранние платежи сборов и сгруппировал их в девять трейдеров. Он признал, что две из этих групп в основном полагаются на порядок оттока.

Если кто-то скопировал его контролирующий ключ, длительная пауза в торговле не мешает ему подписывать новый перевод, когда средства остаются там.

Отдельный отток TradeWiz предлагает устаревший пример постоянного подписания, не устанавливая общую причину с Bloom. Bitquery датирует основной отток 30 сентября и подсчитывает 20,793 кошелька, из которых были выведены SOL.

Торговые сделки с оплатой сборов прекратились через 41 минуту после начала оттока, но Bitquery сообщает, что бот забрал 73% основного оттока SOL после этого.

Он также сообщает, что два выведенных адреса TradeWiz получили новые депозиты и были опустошены снова в течение четырех секунд. Депозит на адрес после того, как его контролирующий ключ был утерян, может поставить новые средства под власть того же злоумышленника.

Если единственный контролирующий ключ был утерян, перемещение активов на новый кошелек, управляемый не скомпрометированным ключом, выводит эти активы из-под власти старого ключа.

Держите новый ключ вне любой среды подписания, которую злоумышленник все еще может использовать, так как импортирование того же секрета в другое приложение сохраняет те же полномочия, как и возврат средств на старый адрес.

Изменение доступа к сервису и изменение контроля над активами имеют разные последствия. Блокировка назначения все еще может защитить процесс вывода сервиса, в то время как исправление на стороне сервиса может устранить скомпрометированный путь подписания. Ни одно из этих действий не может стереть копию приватного ключа, уже хранящуюся в другом месте.

В своем обещании о возмещении Bloom заявила, что средства будут направлены в безопасные кошельки, назначенные затронутыми пользователями, а ее позднее объявление говорит, что она завершила выплату.

Для пользователей, оценивающих старый кошелек бота, ключевое различие заключается в том, изменили ли они место входа или полномочия, управляющие активами. Когда ключ был скопирован, новый интерфейс оставляет старую уязвимость на месте. Новый, не скомпрометированный ключ меняет того, кто может авторизовать следующий перевод.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.