把私钥导进交易机器人的那一刻，那个钱包就已经不归你管了。
10 月 26 日上午（东八区），Solana 上一款 Telegram 狙击机器人 Bloom 的用户集中被盗：官方确认 9 个用户、49 个钱包受影响，几分钟内约 9,400 SOL（约 95 万美元）被转进同一个地址，每笔转账都用的是用户自己的私钥签名，部分钱包里的 USDC 没被动。Bloom 表示根因尚未确认，正在排查包括第三方供应商被攻破的可能，承诺全额赔付，并建议用户把剩余资金转到新生成私钥的钱包。
工程师视角：
· 狙击机器人要秒级下单，不可能每笔都等你手动签名，所以你导入的私钥必须以"能被它解密"的形式放在它的服务器上；
· 这时候它就是你的托管方，它的服务器、运维、第三方依赖，任何一环出事，你的私钥就是明文；
· 攻击者拿到的是私钥本身，不是某个授权，所以"断开连接""撤销授权"都拦不住；
· 只扫 SOL、不动 USDC，更像是脚本按规则批量清扫，谁的私钥在库里谁就在名单上。
散户五条：
1）导入过私钥的地址一律当作已泄露：新建钱包、新助记词，把资产搬走；
2）给任何机器人用的都只能是零钱包，只放当天要动的额度；
3）主钱包的助记词和私钥，永远不进任何机器人、网页或表单；
4）能用限额、限时的会话密钥或授权，就别交整把私钥；
5）"承诺赔付"不等于安全，等根因报告出来再决定要不要回去。
我对漂亮姑娘一向大方，备用钥匙可以给，主卧那把从来不给😏
#链上安全 #钱包安全 #Solana
10 月 26 日上午（东八区），Solana 上一款 Telegram 狙击机器人 Bloom 的用户集中被盗：官方确认 9 个用户、49 个钱包受影响，几分钟内约 9,400 SOL（约 95 万美元）被转进同一个地址，每笔转账都用的是用户自己的私钥签名，部分钱包里的 USDC 没被动。Bloom 表示根因尚未确认，正在排查包括第三方供应商被攻破的可能，承诺全额赔付，并建议用户把剩余资金转到新生成私钥的钱包。
工程师视角：
· 狙击机器人要秒级下单，不可能每笔都等你手动签名，所以你导入的私钥必须以"能被它解密"的形式放在它的服务器上；
· 这时候它就是你的托管方，它的服务器、运维、第三方依赖，任何一环出事，你的私钥就是明文；
· 攻击者拿到的是私钥本身，不是某个授权，所以"断开连接""撤销授权"都拦不住；
· 只扫 SOL、不动 USDC，更像是脚本按规则批量清扫，谁的私钥在库里谁就在名单上。
散户五条：
1）导入过私钥的地址一律当作已泄露：新建钱包、新助记词，把资产搬走；
2）给任何机器人用的都只能是零钱包，只放当天要动的额度；
3）主钱包的助记词和私钥，永远不进任何机器人、网页或表单；
4）能用限额、限时的会话密钥或授权，就别交整把私钥；
5）"承诺赔付"不等于安全，等根因报告出来再决定要不要回去。
我对漂亮姑娘一向大方，备用钥匙可以给，主卧那把从来不给😏
#链上安全 #钱包安全 #Solana