Community Trust ScoreVérifié
Bloom, un service de trading automatisé sur la blockchain Solana, a intégralement remboursé neuf utilisateurs pour un total de 9 408 SOL perdus depuis 48 portefeuilles liés. L’entreprise a déclaré que l’incident était causé par une vulnérabilité d’exécution de code à distance dans un module tiers et a nié que les clés privées aient été directement accédées ou compromises.
L’analyse on-chain par Bitquery indique que les fonds ont été déplacés par des transferts SOL simples signés par les clés propres des portefeuilles. Les vidages complets ont eu lieu entre 01:03:07 et 01:04:41 UTC le 26 octobre. Bitquery a noté qu’aucun second signataire ou approbation de jeton n’était impliqué dans ces transactions, ce qui signifie que les transferts étaient autorisés uniquement par les clés privées contrôlant les adresses affectées.
Verrous de retrait et autorité des clés
La documentation de Bloom décrit un verrou d’adresse de retrait conçu pour empêcher les modifications de la destination de retrait d’un utilisateur pendant que le verrou est actif. Le déverrouillage de cette adresse initie une période de refroidissement de 24 heures avant que des modifications ne soient autorisées. Cette mesure de sécurité est destinée à protéger les utilisateurs si leur compte de service est compromis, empêchant un attaquant de rediriger les retraits via l’interface standard du service.
Cependant, Bloom a reconnu qu’une clé privée copiée conserve l’autorité sur les fonds, indépendamment des paramètres internes du service. La page d’accueil du produit de l’entreprise indique que ses produits Extension, Manager et Telegram partagent un moteur d’exécution commun. Par conséquent, si la même clé de portefeuille est utilisée à travers différentes interfaces, elle maintient la même autorité sur les actifs. Un attaquant qui possède une copie de la clé privée peut créer un nouveau transfert vers une destination différente sans avoir besoin de modifier l’adresse de retrait enregistrée dans la plateforme Bloom.
La documentation technique de Solana explique qu’une signature de clé propriétaire valide peut être cohérente avec soit du matériel de clé copié, soit l’abus d’un chemin de signature. Comme les transferts ont été signés par les clés propres des portefeuilles, la détermination de la route exacte vers l’autorité de signature reste non résolue. Bloom a déclaré que la modification de l’accès au service n’efface pas une copie d’une clé privée qui a déjà été détenue ailleurs.
Remboursements et exposition des portefeuilles inactifs
Bitquery a constaté que 24 des 48 portefeuilles affectés n’avaient pas payé de frais de trading Bloom le mois précédant l’incident. Cinq autres portefeuilles ont payé un frais entre janvier et mai 2025. L’analyse a regroupé les 48 portefeuilles en neuf traders distincts sur la base de paiements de frais antérieurs, bien qu’elle ait reconnu que deux de ces groupes s’appuyaient principalement sur l’ordre de vidage pour leur association avec le service.
La présence de portefeuilles inactifs depuis longtemps dans la brèche souligne qu’une pause dans l’activité de trading n’empêche pas un attaquant possédant une clé copiée de signer de nouveaux transferts si des fonds restent dans l’adresse. Bloom a annoncé le 26 octobre que les neuf utilisateurs affectés avaient été intégralement remboursés, en liant neuf transactions totalisant 9 408 SOL. L’entreprise a déclaré que les fonds ont été envoyés vers des portefeuilles sécurisés désignés par les utilisateurs affectés.
Un incident distinct impliquant TradeWiz s’est produit le 30 septembre, où 20 793 portefeuilles ont été vidés de SOL. Dans ce cas, les trades de bots payant des frais ont cessé 41 minutes après le début du balayage, mais le bot a continué à prendre 73 % du SOL du balayage principal par la suite. Deux adresses TradeWiz vidées ont reçu de nouveaux dépôts et ont été vidées à nouveau en quatre secondes, démontrant que déposer dans une adresse après que sa clé de contrôle a échappé peut placer de nouveaux fonds sous l’autorité du même attaquant.
Pour les utilisateurs gérant des portefeuilles de bots, la distinction entre la modification de l’accès au service et la modification du contrôle des actifs est cruciale. Déplacer les actifs vers un nouveau portefeuille gouverné par une clé non compromise retire les actifs de l’autorité de l’ancienne clé. Inversement, importer le même secret dans une autre application ou retourner les fonds vers l’ancienne adresse préserve l’exposition existante.
Questions Fréquentes
Bloom a-t-il confirmé que les clés privées ont été volées ?
Non. Bloom a nié que les clés privées aient été accédées ou compromises. L’entreprise a attribué l’incident à une vulnérabilité d’exécution de code à distance dans un module tiers.
Combien d’utilisateurs ont été affectés par le vidage de Bloom ?
Neuf utilisateurs ont été affectés, avec un total de 48 portefeuilles liés vidés de 9 408 SOL. Bloom a intégralement remboursé les neuf utilisateurs.
