No momento em que importas a chave privada para um bot de trading, essa carteira já deixa de estar sob o teu controlo.
Na manhã de 26 de outubro (UTC+8), utilizadores do Bloom, um bot de sniping do Telegram na Solana, foram vítimas de um roubo em massa: a equipa confirmou que 9 utilizadores e 49 carteiras foram afetados. Em poucos minutos, cerca de 9 400 SOL (aproximadamente 950 mil dólares) foram transferidos para o mesmo endereço. Cada transferência foi assinada com a própria chave privada do utilizador, enquanto os USDC de algumas carteiras não foram tocados. A Bloom afirmou que a causa ainda não foi confirmada e que está a investigar, incluindo a possibilidade de um fornecedor externo ter sido comprometido. Prometeu reembolsar integralmente os utilizadores e recomendou que transferissem os fundos restantes para carteiras com chaves privadas recém-geradas.
Do ponto de vista de engenharia:
· Um bot de sniping tem de executar ordens em segundos, por isso não pode esperar que assines manualmente cada operação. A chave privada que importas tem, portanto, de ficar nos servidores do bot num formato que este consiga desencriptar;
· Nesse momento, o bot passa a ser o teu custodiante. Se houver um problema nos servidores, na equipa de operações ou em qualquer dependência de terceiros, a tua chave privada fica exposta em texto simples;
· Os atacantes obtiveram a própria chave privada, não uma autorização específica. Por isso, «desligar a carteira» ou «revogar a autorização» não impede o roubo;
· O facto de terem levado apenas SOL, sem tocar nos USDC, parece indicar uma limpeza em massa automatizada por regras: se a tua chave privada estava na base de dados, a tua carteira estava na lista.
Cinco conselhos para pequenos investidores:
1) Considera comprometidos todos os endereços cujas chaves privadas importaste: cria uma carteira nova, com uma nova frase-semente, e transfere os ativos;
2) Para qualquer bot, usa apenas uma carteira secundária, com o montante que pretendes movimentar nesse dia;
3) Nunca introduzas a frase-semente ou a chave privada da carteira principal em bots, páginas web ou formulários;
4) Se puderes usar chaves de sessão ou autorizações com limites de montante e de tempo, não entregues a chave privada completa;
5) «Prometer reembolsar» não significa que seja seguro. Espera pelo relatório sobre a causa antes de decidires se voltas a usar o serviço.
Sempre fui generoso com as meninas bonitas: posso dar-lhes uma cópia da chave suplente, mas a do quarto principal fica sempre comigo 😏
#链上安全 #钱包安全 #Solana
Na manhã de 26 de outubro (UTC+8), utilizadores do Bloom, um bot de sniping do Telegram na Solana, foram vítimas de um roubo em massa: a equipa confirmou que 9 utilizadores e 49 carteiras foram afetados. Em poucos minutos, cerca de 9 400 SOL (aproximadamente 950 mil dólares) foram transferidos para o mesmo endereço. Cada transferência foi assinada com a própria chave privada do utilizador, enquanto os USDC de algumas carteiras não foram tocados. A Bloom afirmou que a causa ainda não foi confirmada e que está a investigar, incluindo a possibilidade de um fornecedor externo ter sido comprometido. Prometeu reembolsar integralmente os utilizadores e recomendou que transferissem os fundos restantes para carteiras com chaves privadas recém-geradas.
Do ponto de vista de engenharia:
· Um bot de sniping tem de executar ordens em segundos, por isso não pode esperar que assines manualmente cada operação. A chave privada que importas tem, portanto, de ficar nos servidores do bot num formato que este consiga desencriptar;
· Nesse momento, o bot passa a ser o teu custodiante. Se houver um problema nos servidores, na equipa de operações ou em qualquer dependência de terceiros, a tua chave privada fica exposta em texto simples;
· Os atacantes obtiveram a própria chave privada, não uma autorização específica. Por isso, «desligar a carteira» ou «revogar a autorização» não impede o roubo;
· O facto de terem levado apenas SOL, sem tocar nos USDC, parece indicar uma limpeza em massa automatizada por regras: se a tua chave privada estava na base de dados, a tua carteira estava na lista.
Cinco conselhos para pequenos investidores:
1) Considera comprometidos todos os endereços cujas chaves privadas importaste: cria uma carteira nova, com uma nova frase-semente, e transfere os ativos;
2) Para qualquer bot, usa apenas uma carteira secundária, com o montante que pretendes movimentar nesse dia;
3) Nunca introduzas a frase-semente ou a chave privada da carteira principal em bots, páginas web ou formulários;
4) Se puderes usar chaves de sessão ou autorizações com limites de montante e de tempo, não entregues a chave privada completa;
5) «Prometer reembolsar» não significa que seja seguro. Espera pelo relatório sobre a causa antes de decidires se voltas a usar o serviço.
Sempre fui generoso com as meninas bonitas: posso dar-lhes uma cópia da chave suplente, mas a do quarto principal fica sempre comigo 😏
#链上安全 #钱包安全 #Solana