In dem Moment, in dem du deinen privaten Schlüssel in einen Trading-Bot importierst, hast du die Kontrolle über diese Wallet bereits abgegeben.
Am Vormittag des 26. Oktober (UTC+8) wurden Nutzer des Telegram-Sniping-Bots Bloom auf Solana in großer Zahl bestohlen: Das Team bestätigte, dass 9 Nutzer und 49 Wallets betroffen waren. Innerhalb weniger Minuten wurden etwa 9.400 SOL (rund 950.000 US-Dollar) an dieselbe Adresse überwiesen. Jede Transaktion wurde mit dem privaten Schlüssel des jeweiligen Nutzers signiert. USDC in einigen Wallets blieb unangetastet. Bloom erklärte, die Ursache sei noch nicht bestätigt; man prüfe unter anderem die Möglichkeit, dass ein Drittanbieter kompromittiert wurde. Das Team versprach eine vollständige Entschädigung und empfahl den Nutzern, ihr verbleibendes Guthaben auf Wallets mit neu generierten privaten Schlüsseln zu übertragen.
Aus Sicht eines Ingenieurs:
· Ein Sniping-Bot muss innerhalb von Sekundenbruchteilen Orders platzieren. Er kann unmöglich bei jeder Transaktion auf deine manuelle Signatur warten. Deshalb muss der importierte private Schlüssel in einer Form auf seinem Server gespeichert werden, in der der Bot ihn entschlüsseln kann;
· Von diesem Moment an ist der Bot dein Verwahrer. Wenn bei seinem Server, dem Betrieb oder einer Drittanbieter-Abhängigkeit etwas schiefläuft, liegt dein privater Schlüssel im Klartext vor;
· Angreifer haben den privaten Schlüssel selbst erbeutet, nicht irgendeine Berechtigung. Deshalb helfen weder „Verbindung trennen“ noch „Berechtigung widerrufen“;
· Dass nur SOL abgezogen und USDC nicht angerührt wurde, deutet eher auf ein Skript hin, das Guthaben nach festen Regeln massenhaft abräumt. Wer seinen privaten Schlüssel in der Datenbank hatte, stand auf der Liste.
Fünf Regeln für Kleinanleger:
1) Behandle jede Adresse, deren privaten Schlüssel du importiert hast, als kompromittiert: Erstelle eine neue Wallet mit einer neuen Seed-Phrase und übertrage deine Vermögenswerte;
2) Für jeden Bot solltest du ausschließlich eine Wallet mit Kleinstbeträgen verwenden und nur den Betrag darin aufbewahren, den du an diesem Tag brauchst;
3) Die Seed-Phrase und der private Schlüssel deiner Haupt-Wallet gehören niemals in einen Bot, auf eine Webseite oder in ein Formular;
4) Wenn du Sitzungs-Schlüssel oder Berechtigungen mit Betrags- und Zeitlimits nutzen kannst, gib nicht gleich den gesamten privaten Schlüssel heraus;
5) Ein „Versprechen auf Entschädigung“ bedeutet nicht, dass es sicher ist. Warte den Bericht zur Ursache ab, bevor du entscheidest, ob du zurückkehrst.
Bei hübschen Frauen bin ich immer großzügig: Einen Ersatzschlüssel kann ich hergeben, aber den fürs Hauptschlafzimmer gebe ich niemals raus 😏
#链上安全 #钱包安全 #Solana
Am Vormittag des 26. Oktober (UTC+8) wurden Nutzer des Telegram-Sniping-Bots Bloom auf Solana in großer Zahl bestohlen: Das Team bestätigte, dass 9 Nutzer und 49 Wallets betroffen waren. Innerhalb weniger Minuten wurden etwa 9.400 SOL (rund 950.000 US-Dollar) an dieselbe Adresse überwiesen. Jede Transaktion wurde mit dem privaten Schlüssel des jeweiligen Nutzers signiert. USDC in einigen Wallets blieb unangetastet. Bloom erklärte, die Ursache sei noch nicht bestätigt; man prüfe unter anderem die Möglichkeit, dass ein Drittanbieter kompromittiert wurde. Das Team versprach eine vollständige Entschädigung und empfahl den Nutzern, ihr verbleibendes Guthaben auf Wallets mit neu generierten privaten Schlüsseln zu übertragen.
Aus Sicht eines Ingenieurs:
· Ein Sniping-Bot muss innerhalb von Sekundenbruchteilen Orders platzieren. Er kann unmöglich bei jeder Transaktion auf deine manuelle Signatur warten. Deshalb muss der importierte private Schlüssel in einer Form auf seinem Server gespeichert werden, in der der Bot ihn entschlüsseln kann;
· Von diesem Moment an ist der Bot dein Verwahrer. Wenn bei seinem Server, dem Betrieb oder einer Drittanbieter-Abhängigkeit etwas schiefläuft, liegt dein privater Schlüssel im Klartext vor;
· Angreifer haben den privaten Schlüssel selbst erbeutet, nicht irgendeine Berechtigung. Deshalb helfen weder „Verbindung trennen“ noch „Berechtigung widerrufen“;
· Dass nur SOL abgezogen und USDC nicht angerührt wurde, deutet eher auf ein Skript hin, das Guthaben nach festen Regeln massenhaft abräumt. Wer seinen privaten Schlüssel in der Datenbank hatte, stand auf der Liste.
Fünf Regeln für Kleinanleger:
1) Behandle jede Adresse, deren privaten Schlüssel du importiert hast, als kompromittiert: Erstelle eine neue Wallet mit einer neuen Seed-Phrase und übertrage deine Vermögenswerte;
2) Für jeden Bot solltest du ausschließlich eine Wallet mit Kleinstbeträgen verwenden und nur den Betrag darin aufbewahren, den du an diesem Tag brauchst;
3) Die Seed-Phrase und der private Schlüssel deiner Haupt-Wallet gehören niemals in einen Bot, auf eine Webseite oder in ein Formular;
4) Wenn du Sitzungs-Schlüssel oder Berechtigungen mit Betrags- und Zeitlimits nutzen kannst, gib nicht gleich den gesamten privaten Schlüssel heraus;
5) Ein „Versprechen auf Entschädigung“ bedeutet nicht, dass es sicher ist. Warte den Bericht zur Ursache ab, bevor du entscheidest, ob du zurückkehrst.
Bei hübschen Frauen bin ich immer großzügig: Einen Ersatzschlüssel kann ich hergeben, aber den fürs Hauptschlafzimmer gebe ich niemals raus 😏
#链上安全 #钱包安全 #Solana