Siphonnage des wallets du bot Solana Bloom Trading

Le 26 octobre 2026, Bloom Trading, un bot de trading Solana basé sur Telegram, a perdu environ 947 000 dollars (soit près de 9 408 SOL) après qu'un attaquant a exploité une faille d'exécution de code à distance dans un module logiciel tiers et vidé 49 wallets appartenant à neuf utilisateurs.

Ce qui s'est passé

Bloom Trading est un bot Telegram qui permet aux traders d'exécuter des swaps Solana directement depuis le chat, les clés des wallets étant importées dans le bot afin qu'il puisse signer des transactions au nom des utilisateurs. Le 26 octobre 2026, la plateforme de surveillance on-chain Onchain Lens a signalé une vague de transferts suspects évacuant des SOL de wallets liés au service, et Onchain Alert a rapporté que les fonds étaient regroupés sur une unique adresse de drainage présumée.

Bloom a attribué le vol à une vulnérabilité complexe d'exécution de code à distance (RCE) dans un module logiciel tiers, et non à une faille de ses propres contrats ou à une fuite massive de clés. L'entreprise a déclaré que son enquête n'avait trouvé aucune preuve d'un accès ou d'une compromission des clés privées et que les wallets hors du groupe touché étaient en sécurité, sans toutefois expliquer publiquement comment les transferts non autorisés avaient été autorisés. Les enquêteurs ont d'abord dénombré 49 victimes ; Bloom a précisé ensuite que les 49 adresses vidées appartenaient à neuf utilisateurs. Le plus gros transfert unique s'élevait à 1 636 SOL (environ 166 000 dollars). Une première analyse on-chain d'Onchain Lens a estimé le total à près de 954 000 dollars, que la propre comptabilité de Bloom a ramené à environ 947 000 dollars. Fait notable, seuls des SOL ont été dérobés — les soldes en USDC des wallets touchés sont restés intacts.

Conséquences

Bloom a mis tous ses systèmes hors ligne par précaution et s'est engagé à rembourser 100 % des fonds volés, en envoyant des SOL de remplacement vers des adresses sécurisées désignées par les neuf utilisateurs touchés. L'entreprise a rejeté l'idée d'un fonds d'entraide communautaire, affirmant qu'elle couvrirait elle-même les pertes, mais n'a pas annoncé de calendrier de paiement ni confirmé que les remboursements étaient achevés. L'équipe a indiqué qu'elle traçait les fonds et étudiait des options de gel et de récupération tout en tentant d'identifier l'attaquant. Au moment des premières divulgations, aucun fonds n'avait été signalé comme récupéré ou gelé, aucune identité d'attaquant n'avait été établie et le fournisseur du logiciel tiers n'avait pas été nommé.

Pourquoi c'est important

La perte de Bloom rappelle une fois de plus que les bots de trading Telegram concentrent le risque : pour signer des swaps automatiquement, ils détiennent ou contrôlent les clés des utilisateurs, de sorte qu'une seule faille n'importe où dans la pile du bot peut vider de nombreux wallets d'un coup. Le schéma fait écho au siphonnage via l'oracle de messages de Banana Gun et au bug d'approbation de routeur d'Unibot, qui ont tous deux vidé les wallets des utilisateurs d'un bot et se sont soldés par des remboursements financés par l'équipe. Ici, le point d'entrée n'était pas le code du bot lui-même mais une dépendance — un rappel qu'externaliser une partie de la pile n'externalise pas le rayon d'impact. La commodité qui impose de confier la garde des clés à un service toujours actif reste l'un des compromis les plus tranchants de la crypto.