À l’instant où vous importez votre clé privée dans un bot de trading, ce portefeuille ne vous appartient déjà plus vraiment.
Le 26 octobre au matin (UTC+8), les utilisateurs d’un bot de sniper Telegram de Solana, Bloom, ont été victimes d’un vol massif : l’équipe a confirmé que 9 utilisateurs et 49 portefeuilles étaient touchés. En quelques minutes, environ 9 400 SOL (près de 950 000 dollars) ont été transférés vers une même adresse. Chaque transfert était signé avec la clé privée de l’utilisateur. Les USDC de certains portefeuilles, eux, n’ont pas été touchés. Bloom indique que la cause n’a pas encore été identifiée et examine notamment la possibilité qu’un prestataire tiers ait été compromis. L’équipe promet un remboursement intégral et conseille aux utilisateurs de transférer les fonds restants vers un portefeuille doté d’une nouvelle clé privée.
Du point de vue d’un ingénieur :
· Un bot de sniper doit passer des ordres en quelques secondes ; il ne peut pas attendre votre signature manuelle à chaque transaction. La clé privée que vous importez doit donc être stockée sur ses serveurs sous une forme qu’il peut déchiffrer ;
· À partir de là, c’est lui qui garde vos fonds. Si un maillon de la chaîne — ses serveurs, son équipe d’exploitation ou une dépendance tierce — est compromis, votre clé privée se retrouve en clair ;
· Les attaquants mettent la main sur la clé privée elle-même, pas sur une autorisation particulière. « Déconnecter le portefeuille » ou « révoquer l’autorisation » ne peut donc pas les arrêter ;
· Le fait de ne vider que les SOL et de laisser les USDC intacts ressemble davantage à un script qui balaie les portefeuilles selon des règles prédéfinies : si votre clé privée est dans la base, votre portefeuille est sur la liste.
Cinq conseils pour les particuliers :
1) Considérez comme compromises toutes les adresses dont vous avez importé la clé privée : créez un nouveau portefeuille avec une nouvelle phrase de récupération et transférez-y vos actifs ;
2) Pour tout bot, utilisez uniquement un portefeuille secondaire contenant juste les fonds nécessaires pour la journée ;
3) Ne saisissez jamais la phrase de récupération ou la clé privée de votre portefeuille principal dans un bot, sur un site web ou dans un formulaire ;
4) Si vous pouvez utiliser des clés de session ou des autorisations limitées dans le temps et en montant, ne confiez pas votre clé privée entière ;
5) Une « promesse de remboursement » ne signifie pas que le service est sûr. Attendez le rapport sur la cause de l’incident avant de décider d’y retourner.
Je suis toujours généreux avec les jolies filles : je peux leur donner une clé de secours, mais jamais celle de ma chambre 😏
#链上安全 #钱包安全 #Solana
Le 26 octobre au matin (UTC+8), les utilisateurs d’un bot de sniper Telegram de Solana, Bloom, ont été victimes d’un vol massif : l’équipe a confirmé que 9 utilisateurs et 49 portefeuilles étaient touchés. En quelques minutes, environ 9 400 SOL (près de 950 000 dollars) ont été transférés vers une même adresse. Chaque transfert était signé avec la clé privée de l’utilisateur. Les USDC de certains portefeuilles, eux, n’ont pas été touchés. Bloom indique que la cause n’a pas encore été identifiée et examine notamment la possibilité qu’un prestataire tiers ait été compromis. L’équipe promet un remboursement intégral et conseille aux utilisateurs de transférer les fonds restants vers un portefeuille doté d’une nouvelle clé privée.
Du point de vue d’un ingénieur :
· Un bot de sniper doit passer des ordres en quelques secondes ; il ne peut pas attendre votre signature manuelle à chaque transaction. La clé privée que vous importez doit donc être stockée sur ses serveurs sous une forme qu’il peut déchiffrer ;
· À partir de là, c’est lui qui garde vos fonds. Si un maillon de la chaîne — ses serveurs, son équipe d’exploitation ou une dépendance tierce — est compromis, votre clé privée se retrouve en clair ;
· Les attaquants mettent la main sur la clé privée elle-même, pas sur une autorisation particulière. « Déconnecter le portefeuille » ou « révoquer l’autorisation » ne peut donc pas les arrêter ;
· Le fait de ne vider que les SOL et de laisser les USDC intacts ressemble davantage à un script qui balaie les portefeuilles selon des règles prédéfinies : si votre clé privée est dans la base, votre portefeuille est sur la liste.
Cinq conseils pour les particuliers :
1) Considérez comme compromises toutes les adresses dont vous avez importé la clé privée : créez un nouveau portefeuille avec une nouvelle phrase de récupération et transférez-y vos actifs ;
2) Pour tout bot, utilisez uniquement un portefeuille secondaire contenant juste les fonds nécessaires pour la journée ;
3) Ne saisissez jamais la phrase de récupération ou la clé privée de votre portefeuille principal dans un bot, sur un site web ou dans un formulaire ;
4) Si vous pouvez utiliser des clés de session ou des autorisations limitées dans le temps et en montant, ne confiez pas votre clé privée entière ;
5) Une « promesse de remboursement » ne signifie pas que le service est sûr. Attendez le rapport sur la cause de l’incident avant de décider d’y retourner.
Je suis toujours généreux avec les jolies filles : je peux leur donner une clé de secours, mais jamais celle de ma chambre 😏
#链上安全 #钱包安全 #Solana