Een aanvaller heeft maandag 48 wallets leeggehaald die waren gebruikt met Bloom, een handelsbot in Telegram. Blockchainonderzoeker Bitquery koppelt de wallets aan negen handelaren en schat de buit op ongeveer 850.000 euro. Bloom belooft de slachtoffers volledig terug te betalen, maar de oorzaak van het lek is nog niet vastgesteld.
Aanvaller had toegang tot privésleutels
Uit het onderzoek van Bitquery blijkt dat iedere overboeking was ondertekend met de eigen privésleutel van de wallet. Er was volgens de onderzoekers geen misleidende toestemming via een website, geen slim contract en geen tweede ondertekenaar nodig.
Bloom werkt als handelsbot op onder meer Solana. Zo’n bot kan snel kopen en verkopen omdat hij namens de gebruiker transacties ondertekent. Daarvoor bewaart de dienst toegang tot de privésleutel. Wie die sleutel bemachtigt, kan geld verplaatsen alsof de eigenaar dat zelf doet.
De aanvaller testte volgens Bitquery eerst één wallet per handelaar met een kleine transactie. Daarna werden de wallets per eigenaar geleegd, telkens van het grootste naar het kleinste saldo. De volledige reeks duurde 94 seconden.
Oude wallets bleven kwetsbaar
De leeftijd van enkele getroffen wallets maakt het incident extra relevant. De helft had in de voorafgaande maand niet meer via Bloom gehandeld. Vijf wallets waren zelfs sinds de eerste helft van 2025 niet meer gebruikt, maar bevatten nog wel geld.
Stoppen met een handelsbot trekt een privésleutel niet automatisch in. Zolang geld op dezelfde wallet blijft staan, kan iemand met een eerder buitgemaakte kopie van die sleutel het nog verplaatsen. Een nieuwe wallet waarvan de sleutel nooit met de bot is gedeeld, verbreekt die oude toegang wel.
Oorzaak van het lek blijft onbekend
Bloom meldde op X dat alle verliezen van de negen getroffen gebruikers worden vergoed via nieuwe walletadressen. Het bedrijf onderzoekt onder meer of een externe dienstverlener is getroffen.
Dat is nog geen bevestigde oorzaak. Bitquery noemt ook malware bij gebruikers of eerder geëxporteerde sleutels als mogelijke verklaringen. Voor gebruikers van handelsbots is de praktische les daarom breder: bewaar alleen handelsgeld in een botwallet en verplaats resterend bezit naar een nieuwe wallet wanneer die bot niet meer wordt gebruikt.