秘密鍵を取引ボットにインポートしたその瞬間、そのウォレットはもうあなたの管理下にはありません。

10月26日午前（UTC+8）、Solana上のTelegramスナイパーボット「Bloom」のユーザーが一斉に資産を盗まれました。公式発表によると、9人のユーザーが所有する49個のウォレットが被害を受け、数分のうちに約9,400 SOL（約95万ドル）が同じアドレスに送金されました。各送金にはユーザー自身の秘密鍵が使われており、一部のウォレットにあったUSDCには手が付けられていませんでした。Bloomは、根本原因はまだ特定できておらず、第三者ベンダーの侵害の可能性も含めて調査中だと説明し、全額補償を約束。残りの資金は、新しく生成した秘密鍵を使うウォレットに移すようユーザーに勧告しました。

エンジニアの視点：
· スナイパーボットは一瞬で注文を出す必要があるため、毎回あなたの手動署名を待つことはできません。つまり、インポートした秘密鍵は、ボットが復号できる形でサーバー上に保存されている必要があります。
· この時点で、ボットはあなたのカストディアンです。サーバー、運用管理、サードパーティの依存関係、そのどこか一つでも問題が起きれば、あなたの秘密鍵は平文同然です。
· 攻撃者が手に入れたのは秘密鍵そのものです。何らかの認証ではないため、「接続を切る」「権限を取り消す」といった操作では防げません。
· SOLだけを抜き、USDCには手を付けていないのは、ルールに従って一括で資金を回収するスクリプトによるものと考えるのが自然です。秘密鍵がデータベースにある人は、誰でもリストに載っていたということです。

個人投資家が守るべき5つのこと：
1）秘密鍵をインポートしたことのあるアドレスは、すべて漏えい済みと見なす。新しいウォレットと新しいシードフレーズを作り、資産を移す。
2）ボットに使わせるのは、少額の資金を入れた専用ウォレットだけにする。その日に使う分だけを入れる。
3）メインウォレットのシードフレーズや秘密鍵は、どんなボット、ウェブサイト、フォームにも絶対に入力しない。
4）上限や有効期限を設定できるセッションキーや権限付与を使えるなら、秘密鍵を丸ごと渡さない。
5）「補償を約束する」ことは安全の証明にはならない。根本原因の報告が出てから、再び使うかどうかを決めよう。

きれいな女の子にはいつだって気前よくしてきた。予備の鍵なら渡せるけど、寝室の鍵は絶対に渡さない😏

#链上安全 #钱包安全 #Solana