Begitu private key dimasukkan ke bot trading, kendali atas dompet itu sudah bukan lagi di tanganmu.
Pada pagi 26 Oktober (waktu UTC+8), pengguna Bloom, bot sniper Telegram di Solana, menjadi korban pencurian secara massal: pihak resmi mengonfirmasi 9 pengguna dan 49 dompet terdampak. Dalam beberapa menit, sekitar 9.400 SOL (sekitar 950 ribu dolar AS) ditransfer ke alamat yang sama. Setiap transfer ditandatangani menggunakan private key milik pengguna sendiri, sementara USDC di beberapa dompet tidak tersentuh. Bloom menyatakan penyebab utamanya belum dipastikan dan sedang menyelidiki berbagai kemungkinan, termasuk kebocoran pada penyedia pihak ketiga. Mereka berjanji mengganti kerugian sepenuhnya dan menyarankan pengguna memindahkan sisa dana ke dompet dengan private key yang baru dibuat.
Dari sudut pandang teknisi:
· Bot sniper harus melakukan order dalam hitungan detik, jadi tidak mungkin setiap transaksi menunggu tanda tangan manual darimu. Karena itu, private key yang kamu impor harus disimpan di server mereka dalam bentuk yang bisa mereka dekripsi;
· Dalam situasi ini, mereka menjadi kustodianmu. Jika ada masalah pada server, operasional, atau dependensi pihak ketiga mereka, private key-mu bisa terbaca dalam bentuk aslinya;
· Penyerang mendapatkan private key itu sendiri, bukan sekadar suatu izin. Jadi, “putuskan koneksi” atau “cabut izin” tidak akan menghentikannya;
· SOL saja yang disapu, sementara USDC tidak disentuh—ini lebih mirip skrip yang menyapu dana secara massal berdasarkan aturan. Private key siapa pun yang tersimpan di database berarti masuk dalam daftar.
Lima saran untuk investor ritel:
1) Anggap semua alamat yang pernah mengimpor private key sebagai sudah bocor: buat dompet baru dengan frasa pemulihan baru, lalu pindahkan asetmu;
2) Dompet apa pun yang digunakan oleh bot hanya boleh menjadi dompet kecil, dengan dana sebatas jumlah yang akan digunakan hari itu;
3) Frasa pemulihan dan private key dompet utama jangan pernah dimasukkan ke bot, situs web, atau formulir apa pun;
4) Jika bisa menggunakan session key atau izin dengan batas jumlah dan masa berlaku, jangan serahkan seluruh private key;
5) “Janji ganti rugi” bukan berarti aman. Tunggu laporan penyebab utama keluar sebelum memutuskan apakah akan kembali.
Aku memang selalu murah hati kepada perempuan cantik. Kunci cadangan boleh kuberikan, tapi kunci kamar tidur utama tak pernah kuberikan 😏
#链上安全 #钱包安全 #Solana
Pada pagi 26 Oktober (waktu UTC+8), pengguna Bloom, bot sniper Telegram di Solana, menjadi korban pencurian secara massal: pihak resmi mengonfirmasi 9 pengguna dan 49 dompet terdampak. Dalam beberapa menit, sekitar 9.400 SOL (sekitar 950 ribu dolar AS) ditransfer ke alamat yang sama. Setiap transfer ditandatangani menggunakan private key milik pengguna sendiri, sementara USDC di beberapa dompet tidak tersentuh. Bloom menyatakan penyebab utamanya belum dipastikan dan sedang menyelidiki berbagai kemungkinan, termasuk kebocoran pada penyedia pihak ketiga. Mereka berjanji mengganti kerugian sepenuhnya dan menyarankan pengguna memindahkan sisa dana ke dompet dengan private key yang baru dibuat.
Dari sudut pandang teknisi:
· Bot sniper harus melakukan order dalam hitungan detik, jadi tidak mungkin setiap transaksi menunggu tanda tangan manual darimu. Karena itu, private key yang kamu impor harus disimpan di server mereka dalam bentuk yang bisa mereka dekripsi;
· Dalam situasi ini, mereka menjadi kustodianmu. Jika ada masalah pada server, operasional, atau dependensi pihak ketiga mereka, private key-mu bisa terbaca dalam bentuk aslinya;
· Penyerang mendapatkan private key itu sendiri, bukan sekadar suatu izin. Jadi, “putuskan koneksi” atau “cabut izin” tidak akan menghentikannya;
· SOL saja yang disapu, sementara USDC tidak disentuh—ini lebih mirip skrip yang menyapu dana secara massal berdasarkan aturan. Private key siapa pun yang tersimpan di database berarti masuk dalam daftar.
Lima saran untuk investor ritel:
1) Anggap semua alamat yang pernah mengimpor private key sebagai sudah bocor: buat dompet baru dengan frasa pemulihan baru, lalu pindahkan asetmu;
2) Dompet apa pun yang digunakan oleh bot hanya boleh menjadi dompet kecil, dengan dana sebatas jumlah yang akan digunakan hari itu;
3) Frasa pemulihan dan private key dompet utama jangan pernah dimasukkan ke bot, situs web, atau formulir apa pun;
4) Jika bisa menggunakan session key atau izin dengan batas jumlah dan masa berlaku, jangan serahkan seluruh private key;
5) “Janji ganti rugi” bukan berarti aman. Tunggu laporan penyebab utama keluar sebelum memutuskan apakah akan kembali.
Aku memang selalu murah hati kepada perempuan cantik. Kunci cadangan boleh kuberikan, tapi kunci kamar tidur utama tak pernah kuberikan 😏
#链上安全 #钱包安全 #Solana