Hakerzy wykradają 9 400 SOL z portfeli botów, a skopiowany klucz jest winny

Raport rekonstrukcji Bitquery informuje, że 48 portfeli związanych z Bloom, automatyczną usługą handlową, straciło 9 408 SOL w wyniku transferów podpisanych przez własne klucze portfeli.

Bloom dokumentuje blokadę, która zapobiega zmianom w docelowym adresie wypłaty użytkownika, jednak skopiowany klucz może autoryzować transfery poza tym interfejsem usługowym.

W aktualizacji z 26 października Bloom zaprzeczył, że klucze prywatne zostały uzyskane lub skompromitowane. Konto przypisało incydent do luki w zdalnym wykonaniu kodu w module zewnętrznym i stwierdziło, że portfele, które nie zostały dotknięte, są bezpieczne.

Później, 26 października, Bloom ogłosił, że wszyscy dziewięciu dotkniętych użytkowników zostali w pełni zrefundowani, twierdząc, że łącznie zwrócono 9 408 SOL i powiązano dziewięć transakcji.

To pozostawia dwa oddzielne problemy dla użytkowników: odszkodowanie za straty oraz uprawnienia, które mogą przenieść środki z portfela.

Co kontroluje blokada wypłat

FAQ Bloom informuje użytkowników, aby trzymali swój adres wypłaty zablokowany, mówiąc, że adres nie może być zmieniony podczas blokady, a odblokowanie rozpoczyna 24-godzinny okres chłodzenia przed zezwoleniem na zmiany.

Przewodnik dotyczący wypłat umieszcza Ustaw adres, Zablokuj adres i Odblokuj adres w menu Wypłata, dostępne z ekranu głównego lub za pomocą polecenia /withdraw. Udokumentowane zabezpieczenie opóźnia zastąpienie docelowego adresu używanego w tym procesie.

Blokada daje osobie z skompromitowanym kontem usługowym barierę przeciwko przekierowaniu wypłat przez ten proces.

Strona główna produktu Bloom opisuje produkty Extension, Manager i Telegram jako dzielące silnik wykonawczy. Gdy ten sam klucz portfela jest używany przez inny interfejs, zachowuje tę samą władzę nad środkami.

Bitquery informuje, że pełne wycieki miały miejsce od 01:03:07 do 01:04:41 UTC 26 października. Opisuje każdą jako zwykły transfer SOL podpisany tylko przez klucz dotkniętego portfela, bez drugiego sygnatariusza lub zatwierdzenia tokena.

Dokumentacja transakcji Fundacji Solana wyjaśnia, że transakcja zawiera instrukcje, podpisy z kont autoryzujących zmiany oraz niedawny blockhash. Jej przewodnik po podpisywaniu mówi, że każdy wymagany sygnatariusz musi dostarczyć ważny podpis.

Dla portfela kontrolowanego przez jeden klucz prywatny, posiadanie tego klucza daje kontrolę nad jego środkami. Atakujący, który go skopiował, mógłby stworzyć nowy transfer do innego celu bez zmiany adresu wypłaty zapisanego w usłudze handlowej.

24-godzinna blokada wypłat Bloom blokuje zmiany adresów, ale skopiowany klucz prywatny nadal może autoryzować transfery z zwykłego portfela.

Przewodnik Solany rozróżnia posiadanie lokalnego klucza od żądania podpisów przez backend zarządzania kluczami lub portfelami zarządzanymi. Ważny podpis właściciela klucza może być zgodny z materiałem skopiowanego klucza lub nadużyciem ścieżki podpisu.

Podpisy właściciela klucza opisane przez Bitquery są obok zaprzeczenia Bloom o kompromitacji klucza prywatnego. Określenie, która ścieżka podpisu została nadużyta, określiłoby, czy incydent dotyczył skopiowanego sekretu, czy dostępu do systemu, który mógłby z nim podpisywać.

Gdzie utrzymuje się władza podpisu

Wiek dotkniętych portfeli nadaje incydentowi konsekwencje wykraczające poza aktywnych użytkowników botów. Bitquery odkrył, że 24 z 48 portfeli nie zapłaciły żadnej opłaty handlowej Bloom w poprzedzającym miesiącu, podczas gdy pięć ostatnio zapłaciło jedną między styczniem a majem 2025 roku.

Bitquery powiązał wszystkie 48 portfeli z Bloom poprzez wcześniejsze płatności opłat i pogrupował je w dziewięciu traderów. Przyznał, że dwie z tych grup polegają głównie na zamówieniu wycieku.

Jeśli ktoś skopiował jego kontrolujący klucz, długi czas przerwy w handlu nie zapobiega mu podpisaniu nowego transferu, gdy środki pozostają tam.

Oddzielny wyciek TradeWiz oferuje przestarzały przykład trwałej ekspozycji na podpisy, nie ustanawiając wspólnej przyczyny z Bloom. Bitquery datuje główne wyczyszczenie na 30 września i liczy 20 793 portfeli, które zostały wyczyszczone z SOL.

Handel botów płacących opłaty zatrzymał się 41 minut po wyczyszczeniu, ale Bitquery informuje, że bot zajął 73% SOL z głównego wyczyszczenia później.

Informuje również, że dwa wyczyszczone adresy TradeWiz otrzymały nowe wpłaty i zostały opróżnione ponownie w ciągu czterech sekund. Wpłacenie na adres po tym, jak jego kontrolujący klucz uciekł, może postawić nowe środki pod kontrolą tego samego atakującego.

Jeśli jedyny kontrolujący klucz uciekł, przeniesienie aktywów do nowego portfela zarządzanego przez nieskompromitowany klucz wyprowadza te aktywa poza władzę starego klucza.

Trzymaj nowy klucz poza jakimkolwiek środowiskiem podpisowym, które atakujący może nadal używać, ponieważ importowanie tego samego sekretu do innej aplikacji zachowuje tę samą władzę, podobnie jak zwracanie środków do starego adresu.

Zmiana dostępu do usługi i zmiana kontroli nad aktywami mają różne skutki. Blokada docelowa może nadal chronić proces wypłat usługi, podczas gdy naprawa po stronie usługi może zająć się skompromitowaną ścieżką podpisu. Żadne z tych działań nie może usunąć kopii klucza prywatnego, która już znajduje się gdzie indziej.

W swojej obietnicy zwrotu pieniędzy Bloom powiedział, że środki trafią do bezpiecznych portfeli wyznaczonych przez dotkniętych użytkowników, a jego późniejsze ogłoszenie mówi, że zakończono spłatę.

Dla użytkowników oceniających stary portfel bota, kluczowym rozróżnieniem jest to, czy zmienili miejsce logowania, czy władzę rządzącą aktywami. Gdy klucz został skopiowany, nowy interfejs pozostawia starą ekspozycję na miejscu. Nowy, nieskompromitowany klucz zmienia to, kto może autoryzować następny transfer.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.