La firma de investigación on-chain Specter reveló que los activos robados en el ataque de Bloom drainer se acercan al millón de dólares. El atacante utilizó scripts automatizados para dividir y transferir los fondos robados mediante hasta 2152 rutas independientes y direcciones de destino, en un intento por ocultar el flujo de los fondos y dificultar considerablemente su rastreo en la cadena.
Según la distribución de las direcciones, la ruta de blanqueo abarcó varias cadenas públicas: incluyó 1326 direcciones de Solana, 822 direcciones del ecosistema EVM y 5 direcciones de Zcash. El atacante también transfirió parte de los activos a Zcash entre cadenas: un total de 26.099 ZEC ingresó al pool blindado Sapling de Zcash. Así, aprovechó las funciones de privacidad de las transacciones de Zcash para ocultar el rastro de los fondos, una técnica de ofuscación que suelen utilizar los grupos de hackers.
Este ataque se originó en Bloom, un bot de trading de Telegram del ecosistema Solana, y los activos de las billeteras de numerosos usuarios fueron transferidos en un lapso extremadamente breve. Los datos en cadena muestran que todo el proceso de robo de criptomonedas duró apenas 94 segundos: los activos de decenas de billeteras de usuarios fueron vaciados en masa. Las huellas de las operaciones demuestran que el ataque fue ejecutado por un programa automatizado y no mediante transferencias manuales. El equipo del proyecto había declarado anteriormente que las claves privadas de los usuarios no habían sido filtradas; las causas completas del ataque siguen siendo motivo de controversia.
Analistas de seguridad señalaron que los hackers utilizaron numerosas direcciones intermediarias para dividir y reunir los activos repetidamente, una técnica típica de blanqueo de dinero en cadena. La gran cantidad de direcciones intermedias dispersa las pistas para la investigación y, una vez que los fondos se transfieren a un pool de privacidad de criptomonedas, rastrearlos se vuelve aún más difícil. El incidente también sirve como recordatorio para los usuarios de criptomonedas de que los bots de trading de Telegram implican un alto riesgo de autorización: si se conceden permisos excesivos a una billetera, esta puede sufrir robos masivos de criptomonedas y pérdidas irreversibles de activos.
