En el momento en que importas tu clave privada a un bot de trading, esa billetera deja de estar bajo tu control.
La mañana del 26 de octubre (UTC+8), varios usuarios de Bloom, un bot de sniping de Telegram en Solana, sufrieron robos simultáneos: el equipo confirmó que 9 usuarios y 49 billeteras se vieron afectados. En cuestión de minutos, unos 9.400 SOL (aproximadamente 950.000 dólares) se transfirieron a una misma dirección. Cada transferencia se firmó con la propia clave privada del usuario, aunque los USDC de algunas billeteras no se movieron. Bloom dijo que aún no ha confirmado la causa raíz y que está investigando, entre otras posibilidades, si se vio comprometido un proveedor externo. Prometió reembolsar el importe total y recomendó a los usuarios transferir los fondos restantes a billeteras con claves privadas recién generadas.
Desde la perspectiva de un ingeniero:
· Un bot de sniping debe ejecutar órdenes en cuestión de segundos, así que no puede esperar a que firmes cada operación manualmente. Por eso, la clave privada que importas tiene que almacenarse en sus servidores de una forma que el bot pueda descifrar.
· En ese momento, el bot pasa a custodiar tus fondos. Si algo falla en sus servidores, en sus operaciones o en una dependencia externa, tu clave privada queda expuesta.
· Los atacantes obtuvieron la clave privada en sí, no una autorización concreta, así que «desconectar» o «revocar la autorización» no sirve para detenerlos.
· Que solo vaciaran los SOL y no tocaran los USDC parece indicar que un script hizo una limpieza masiva siguiendo ciertas reglas: si tu clave privada estaba en la base de datos, estabas en la lista.
Cinco reglas para los pequeños inversores:
1) Da por comprometida cualquier dirección cuya clave privada hayas importado: crea una billetera nueva con una frase semilla nueva y transfiere allí tus activos.
2) Para cualquier bot, usa solo una billetera secundaria y guarda en ella únicamente lo que vayas a usar ese día.
3) Nunca introduzcas la frase semilla ni la clave privada de tu billetera principal en un bot, una página web o un formulario.
4) Si puedes usar claves de sesión o autorizaciones con límites de importe y duración, no entregues la clave privada completa.
5) «Prometer reembolsos» no significa que sea seguro. Espera a que publiquen el informe sobre la causa raíz antes de decidir si vuelves a usarlo.
Siempre soy generoso con las chicas guapas: puedo darles una llave de repuesto, pero nunca la de mi dormitorio principal 😏
#链上安全 #钱包安全 #Solana
La mañana del 26 de octubre (UTC+8), varios usuarios de Bloom, un bot de sniping de Telegram en Solana, sufrieron robos simultáneos: el equipo confirmó que 9 usuarios y 49 billeteras se vieron afectados. En cuestión de minutos, unos 9.400 SOL (aproximadamente 950.000 dólares) se transfirieron a una misma dirección. Cada transferencia se firmó con la propia clave privada del usuario, aunque los USDC de algunas billeteras no se movieron. Bloom dijo que aún no ha confirmado la causa raíz y que está investigando, entre otras posibilidades, si se vio comprometido un proveedor externo. Prometió reembolsar el importe total y recomendó a los usuarios transferir los fondos restantes a billeteras con claves privadas recién generadas.
Desde la perspectiva de un ingeniero:
· Un bot de sniping debe ejecutar órdenes en cuestión de segundos, así que no puede esperar a que firmes cada operación manualmente. Por eso, la clave privada que importas tiene que almacenarse en sus servidores de una forma que el bot pueda descifrar.
· En ese momento, el bot pasa a custodiar tus fondos. Si algo falla en sus servidores, en sus operaciones o en una dependencia externa, tu clave privada queda expuesta.
· Los atacantes obtuvieron la clave privada en sí, no una autorización concreta, así que «desconectar» o «revocar la autorización» no sirve para detenerlos.
· Que solo vaciaran los SOL y no tocaran los USDC parece indicar que un script hizo una limpieza masiva siguiendo ciertas reglas: si tu clave privada estaba en la base de datos, estabas en la lista.
Cinco reglas para los pequeños inversores:
1) Da por comprometida cualquier dirección cuya clave privada hayas importado: crea una billetera nueva con una frase semilla nueva y transfiere allí tus activos.
2) Para cualquier bot, usa solo una billetera secundaria y guarda en ella únicamente lo que vayas a usar ese día.
3) Nunca introduzcas la frase semilla ni la clave privada de tu billetera principal en un bot, una página web o un formulario.
4) Si puedes usar claves de sesión o autorizaciones con límites de importe y duración, no entregues la clave privada completa.
5) «Prometer reembolsos» no significa que sea seguro. Espera a que publiquen el informe sobre la causa raíz antes de decidir si vuelves a usarlo.
Siempre soy generoso con las chicas guapas: puedo darles una llave de repuesto, pero nunca la de mi dormitorio principal 😏
#链上安全 #钱包安全 #Solana