Am Montag, dem 26. Oktober, meldete das Blockchain-Analyseunternehmen Bitquery zunächst folgenden Vorfall: Beim Telegram-Trading-Bot Bloom gab es ein Problem. 48 Wallets wurden innerhalb von 94 Sekunden geleert. Sie gehörten neun Tradern und enthielten insgesamt 9.408 SOL, was zum damaligen Kurs etwa 953.000 US-Dollar entsprach. Jede Überweisung wurde mit dem jeweiligen privaten Wallet-Schlüssel signiert. Der Angreifer testete zunächst je ein Wallet der Trader und leerte anschließend die Wallets der Reihe nach, beginnend mit den größten Beträgen. Gestohlen wurden ausschließlich SOL. Stablecoins im Wert von rund 57.000 US-Dollar blieben unangetastet. Danach lag der Großteil der SOL weiterhin in einem einzigen Empfänger-Wallet und wurde nicht weiter transferiert.
Kleinanleger machen hier leicht einen Denkfehler: Sie glauben, dass Nichtbenutzung gleichbedeutend mit Trennung ist. Damit ein Telegram-Handelsbot schnell arbeiten kann, muss er deinen privaten Schlüssel verwahren. Wenn du im Chat auf „Handeln“ tippst, kann er nur dann sofort den Auftrag für dich signieren und ausführen. Genau darin liegt einer der bittersten Aspekte des Bloom-Falls: Unter den leergeräumten Wallets waren 5, die seit der ersten Hälfte des Jahres 2025 nicht mehr auf Bloom genutzt worden waren. Mehr als ein Jahr inaktiv – und trotzdem wurden sie leergeräumt. Chatverläufe zu löschen, die App zu deinstallieren oder sich ein halbes Jahr lang nicht anzumelden: Nichts davon holt den Schlüssel zurück. Er bleibt beim Bot. Die Blockchain erkennt die Signatur, nicht, ob du den Dienst zuletzt genutzt hast. Es ist auch nicht das erste Mal, dass es bei solchen Bots zu einem Vorfall kommt: Im September 2024 wurden 11 Nutzern von Banana Gun rund 3 Millionen US-Dollar gestohlen; im Oktober 2023 erlitten Nutzer von Maestro und Unibot zusammen Verluste von rund 1,1 Millionen US-Dollar. Die Tools sind unterschiedlich, die Lehre ist dieselbe: Sobald du den Schlüssel aus der Hand gibst, läuft das Risiko nicht automatisch ab, nur weil du den Dienst nicht mehr nutzt.
Bei der Einordnung gibt es noch einen Punkt, den man getrennt betrachten muss. Bloom sagte am späten Montag, das Problem liege in einer Remote-Code-Execution-Schwachstelle in einem Modul eines Drittanbieters. Es seien keine privaten Schlüssel erlangt oder offengelegt worden. Außerdem versprach Bloom, die 9 betroffenen Trader vollständig zu entschädigen, und setzte einige Dienste aus. Doch jede On-Chain-Transaktion wurde mit einem gültigen privaten Schlüssel signiert. Wie die Signaturberechtigung in die Hände des Angreifers gelangte, hat Bloom nicht klar erklärt, und auch Bitquery hat dazu noch keine endgültige Einschätzung abgegeben. Die Aussage, die privaten Schlüssel seien sicher, ist also vorerst nur die Darstellung des Unternehmens und noch kein bestätigter Sachverhalt. Solange das Unternehmen die Ursache nicht klar erläutert hat, sollten Kleinanleger nicht vorschnell für es Entwarnung geben.
Drei Dinge, die du sofort tun kannst – das erste ist am dringendsten. Wenn du eine Wallet mit einem Bot oder einem verwalteten Tool erstellt hast und der Anbieter den Schlüssel kontrolliert, übertrage dein Guthaben zuerst in eine Wallet mit einer neu generierten Seed-Phrase. Stelle nicht einfach mit der alten Seed-Phrase eine neue Adresse wieder her und halte das für einen Wechsel: Der alte Schlüssel ist weiterhin im Umlauf, ein Adresswechsel bringt nichts. Zweitens: Erstelle noch heute Abend eine Liste aller Bots, Copy-Trading-Tools und automatischen Handelsfreigaben, die du genutzt hast. Übertrage zuerst das Guthaben aus den nicht mehr genutzten Wallets und kümmere dich danach um die Kündigung. Nur die App zu löschen, reicht nicht. Drittens: Bewahre künftig nur den kleinen Betrag, den du an diesem Tag brauchst, in einer Bot-Wallet auf. Größere Beträge gehören in eine Wallet, deren private Schlüssel du selbst kontrollierst. Halte Bot-Wallet und Spar-Wallet getrennt. Geht beim Bot etwas schief, bleibt der Verlust so auf den kleinen Betrag begrenzt.
Meine Meinung in einem Satz: Wenn du aus Bequemlichkeit den Schlüssel jemand anderem überlässt, liegt der Schlüssel zu deiner Wallet in dessen Händen. Dass du die Tür nicht öffnest, heißt nicht, dass andere sie nicht öffnen können. Dass eine Wallet nach mehr als einem Jahr ohne Nutzung noch leergeräumt werden kann, hat diesmal konkrete Zahlen bekommen.
Hast du noch Bot-Wallets, die du längst nicht mehr nutzt, in denen aber noch Coins liegen? Willst du heute Abend mal nachsehen?
#交易机器人 #钱包安全 #Solana #Betrugsprävention
—— Web3-Kleinanleger Xiaokai
Dieser Beitrag dient ausschließlich der Aufarbeitung des Vorfalls und gibt meine persönliche Meinung wieder. Er stellt keine Anlageberatung dar. Die genannten Beträge beruhen auf öffentlich zugänglichen Berichten und On-Chain-Analysen; maßgeblich sind letztlich die Ergebnisse der offiziellen Untersuchung.