Wallet-Drain des Solana-Bots Bloom Trading

Am 26. Oktober 2026 verlor Bloom Trading, ein Telegram-basierter Solana-Trading-Bot, rund 947.000 US-Dollar (etwa 9.408 SOL), nachdem ein Angreifer eine Remote-Code-Execution-Lücke in einem Drittanbieter-Softwaremodul ausnutzte und 49 Wallets von neun Nutzern leerte.

Was geschah

Bloom Trading ist ein Telegram-Bot, mit dem Trader Solana-Swaps direkt aus dem Chat ausführen können, wobei Wallet-Schlüssel in den Bot importiert werden, damit dieser Transaktionen im Namen der Nutzer signieren kann. Am 26. Oktober 2026 meldete der Blockchain-Monitor Onchain Lens eine Welle verdächtiger Transfers, die SOL aus mit dem Dienst verknüpften Wallets abzogen, und Onchain Alert berichtete, dass die Gelder in einer einzigen mutmaßlichen Drainer-Adresse zusammengeführt wurden.

Bloom führte den Diebstahl auf eine komplexe Remote-Code-Execution-(RCE-)Schwachstelle in einem Drittanbieter-Softwaremodul zurück und nicht auf einen Fehler in den eigenen Verträgen oder ein Massenleck von Schlüsseln. Das Unternehmen erklärte, seine Untersuchung habe keine Hinweise darauf gefunden, dass private Schlüssel abgerufen oder kompromittiert worden seien, und dass Wallets außerhalb der betroffenen Gruppe sicher seien — ohne jedoch öffentlich zu erklären, wie die nicht autorisierten Transfers autorisiert wurden. Ermittler zählten zunächst 49 Opfer; Bloom stellte später klar, dass die 49 geleerten Adressen neun Nutzern gehörten. Der größte Einzeltransfer betrug 1.636 SOL (rund 166.000 US-Dollar). Eine frühe On-Chain-Auswertung von Onchain Lens bezifferte die Summe auf nahezu 954.000 US-Dollar, die Blooms eigene Abrechnung auf etwa 947.000 US-Dollar eingrenzte. Bemerkenswert: Es wurde nur SOL entwendet — USDC-Guthaben in den betroffenen Wallets blieben unangetastet.

Nachwirkungen

Bloom nahm vorsorglich alle Systeme offline und sagte zu, 100 % der gestohlenen Gelder zu erstatten, indem es Ersatz-SOL an sichere, von den neun betroffenen Nutzern benannte Adressen sendet. Das Unternehmen lehnte die Idee eines gemeinschaftlichen Hilfsfonds ab und erklärte, es werde die Verluste selbst tragen, nannte jedoch keinen Zahlungsplan und bestätigte nicht, dass die Erstattungen abgeschlossen seien. Das Team erklärte, es verfolge die Gelder und prüfe Einfrier- und Wiederbeschaffungsoptionen, während es versuche, den Angreifer zu identifizieren. Zum Zeitpunkt der ersten Veröffentlichungen waren keine Gelder als wiederbeschafft oder eingefroren gemeldet, keine Identität des Angreifers festgestellt und der Drittanbieter nicht benannt.

Warum es wichtig ist

Blooms Verlust ist die jüngste Erinnerung daran, dass Telegram-Trading-Bots Risiken bündeln: Um Swaps automatisch zu signieren, halten oder kontrollieren sie Nutzerschlüssel, sodass ein einziger Fehler irgendwo im Stack des Bots viele Wallets auf einmal leeren kann. Das Muster erinnert an den Nachrichten-Oracle-Drain von Banana Gun und den Router-Approval-Bug von Unibot, die beide die Wallets der Bot-Nutzer leerten und mit teamfinanzierten Erstattungen endeten. Hier war der Einstiegspunkt nicht der eigene Code des Bots, sondern eine Abhängigkeit — eine Erinnerung daran, dass das Auslagern eines Teils des Stacks nicht den Explosionsradius auslagert. Komfort, der die Schlüsselverwahrung an einen stets aktiven Dienst abtritt, bleibt einer der schärfsten Kompromisse im Kryptobereich.