RESUMO EXECUTIVO E VISÃO GERAL DA AMEAÇA
A Central de Inteligência On-Chain da Aether monitorou um exploit automatizado que tinha como alvo usuários da Bloom Trading (BloomBot), um aplicativo de negociação automatizada amplamente adotado em Solana ($SOL ). O invasor comprometeu 49 carteiras vinculadas a 9 contas de negociação de alto volume, desviando 9.408 SOL (~US$ 1.000.000). O agente da ameaça executou um script automatizado de lavagem de dinheiro que fragmentou os fundos entre 2.152 endereços distintos, pontes entre blockchains e o pool protegido Sapling da Zcash ($ZEC )
PERFIL DOS ATIVOS EXFILTRADOS E CAPITAL VISADO
A análise forense demonstra uma seleção deliberada de ativos. O invasor visou exclusivamente SOL nativo, deixando intactos os saldos de stablecoins e tokens SPL nas mesmas carteiras comprometidas.
3. VELOCIDADE DO ATAQUE E VARREDURA CRONOLÓGICA
A exploração foi executada como uma única varredura coordenada por script, com duração exata de 94 segundos. Antes de iniciar a transferência do saldo principal, o script enviou uma transação de teste de US$ 0,001 em SOL para cada grupo de carteiras, a fim de confirmar a autoridade de assinatura. Após a confirmação, o loop principal esvaziou as contas em ordem decrescente de valor para maximizar a recuperação de capital antes que pudessem ocorrer medidas de mitigação.
INDICADORES DE COMPROMETIMENTO DE CHAVES NA CADEIA
A seleção dos alvos forneceu informações importantes sobre o vetor da exploração. Várias contas esvaziadas pertenciam a traders que haviam deixado de operar na Bloom meses antes, incluindo contas inativas desde o início de 2025. Esse padrão confirma que as sessões de usuários ativos não foram sequestradas; em vez disso, bancos de dados históricos ou cofres de gerenciamento de chaves na nuvem foram exfiltrados offline.
ARQUITETURA DE LAVAGEM E ALOCAÇÃO DE NÓS
Após a exfiltração para a carteira principal de coleta 7kY8qx...p8BQ, o capital roubado foi dividido por uma estrutura automatizada de distribuição que abrangia 2.152 nós-alvo em três setores funcionais.
MECÂNICA DE DISTRIBUIÇÃO POR SETOR
• Camada de roteamento da Solana (1.326 endereços): foram usados scripts automatizados de divisão e consolidação para interromper o rastreamento contínuo das transações.
• Camada de ponte cross-chain da EVM (822 endereços): SOL foi convertido por meio de protocolos cross-chain em direção a #Ethereum #ARBİTRUM , e #bnb destinos na cadeia.
Camada de privacidade da Zcash (5 endereços): capital foi transferido para a Zcash, com pelo menos 26,099 ZEC depositados em pools protegidos da Sapling.
OFUSCAÇÃO DE CONHECIMENTO ZERO DA ZCASH SAPLING
O elemento mais sofisticado da estratégia pós-exploração foi a conversão para Zcash e a inserção no pool protegido da Sapling.
Análise técnica: ofuscação do pool Sapling
O pool Sapling utiliza zk-SNARKs (argumentos sucintos não interativos de conhecimento zero) para criar transações protegidas. Enquanto os endereços transparentes (endereços t) deixam visíveis as entradas e saídas na cadeia, os endereços protegidos da Sapling (endereços z) criptografam os valores das transações, as identidades dos remetentes e os endereços dos destinatários. Ao depositar 26,099 ZEC na Sapling, o invasor rompeu a possibilidade de vinculação pública, impedindo que ferramentas de vigilância fora da cadeia rastreassem os destinos dos saques posteriores sem chaves privadas de visualização.
RECOMENDAÇÕES ESTRATÉGICAS DE SEGURANÇA PARA OPERADORES DE BOTS
A exploração da Bloom evidencia riscos estruturais em bots de negociação custodiais executados no servidor. A Aether Desk apresenta requisitos arquiteturais essenciais para futuras ferramentas de negociação algorítmica:
Eliminar o armazenamento integral de chaves:
Abandonar o armazenamento de chaves privadas mestras em bancos de dados de servidores. Implementar chaves de sessão da Solana com limites de gastos rigorosos e temporizadores de expiração automática.
Isolar o capital operacional:
Limitar estritamente os saldos das carteiras dos bots de negociação ativos ao mínimo operacional necessário. Manter as reservas principais em hardware de armazenamento a frio isolado.
CONCLUSÃO E STATUS DA REMEDIAÇÃO
A administração da Bloom Trading retirou do ar os serviços de back-end comprometidos, corrigiu as vulnerabilidades dos módulos internos e prometeu o reembolso integral de 100% aos traders afetados. A Aether Terminal continuará monitorando os nós de destino não protegidos nas camadas de roteamento da EVM e da Solana.
Por que $EVAA quer saber sobre pump? Fique ligado