В тот момент, когда ты импортируешь приватный ключ в торгового бота, этот кошелёк уже перестаёт быть под твоим контролем.
Утром 26 октября (UTC+8) пользователи Bloom — одного из снайперских ботов в Telegram на Solana — массово столкнулись с кражей средств: команда подтвердила, что пострадали 9 пользователей и 49 кошельков. За несколько минут около 9 400 SOL (примерно 950 тысяч долларов) перевели на один и тот же адрес. Каждая транзакция была подписана приватным ключом самого пользователя, а USDC в некоторых кошельках не тронули. Bloom заявила, что причина пока не установлена и ведётся расследование, в том числе проверяется версия о взломе стороннего поставщика. Команда пообещала полностью возместить ущерб и посоветовала пользователям перевести оставшиеся средства на кошелёк с новым приватным ключом.
Взгляд инженера:
· Снайперскому боту нужно совершать сделки за секунды, поэтому он не может каждый раз ждать твоей ручной подписи. Значит, импортированный приватный ключ должен храниться на его сервере в виде, позволяющем боту его расшифровать;
· В таком случае бот становится твоим кастодианом. Если что-то случится с его сервером, обслуживанием или сторонними зависимостями, твой приватный ключ окажется в открытом виде;
· Злоумышленники получили сами приватные ключи, а не какие-то разрешения, поэтому «отключить подключение» или «отозвать разрешение» не поможет;
· То, что они забрали только SOL, а USDC не тронули, больше похоже на массовую зачистку по заданному скрипту: если твой приватный ключ хранится в базе, ты уже в списке.
Пять правил для розничных инвесторов:
1）Считай любой адрес, приватный ключ которого ты импортировал, скомпрометированным: создай новый кошелёк с новой сид-фразой и переведи туда активы;
2）Для любых ботов используй только кошелёк с мелкими суммами — клади туда лишь то, что собираешься потратить за день;
3）Никогда не вводи сид-фразу и приватный ключ основного кошелька ни в какого бота, на сайт или в форму;
4）Если можно использовать сессионные ключи или разрешения с лимитами по сумме и времени, не отдавай весь приватный ключ;
5）«Обещание возместить ущерб» не означает, что сервис безопасен. Дождись отчёта о причинах и только потом решай, возвращаться ли.
Я всегда щедр с красивыми девушками: запасной ключ дать могу, а ключ от спальни — никогда 😏
#链上安全 #钱包安全 #Solana
Утром 26 октября (UTC+8) пользователи Bloom — одного из снайперских ботов в Telegram на Solana — массово столкнулись с кражей средств: команда подтвердила, что пострадали 9 пользователей и 49 кошельков. За несколько минут около 9 400 SOL (примерно 950 тысяч долларов) перевели на один и тот же адрес. Каждая транзакция была подписана приватным ключом самого пользователя, а USDC в некоторых кошельках не тронули. Bloom заявила, что причина пока не установлена и ведётся расследование, в том числе проверяется версия о взломе стороннего поставщика. Команда пообещала полностью возместить ущерб и посоветовала пользователям перевести оставшиеся средства на кошелёк с новым приватным ключом.
Взгляд инженера:
· Снайперскому боту нужно совершать сделки за секунды, поэтому он не может каждый раз ждать твоей ручной подписи. Значит, импортированный приватный ключ должен храниться на его сервере в виде, позволяющем боту его расшифровать;
· В таком случае бот становится твоим кастодианом. Если что-то случится с его сервером, обслуживанием или сторонними зависимостями, твой приватный ключ окажется в открытом виде;
· Злоумышленники получили сами приватные ключи, а не какие-то разрешения, поэтому «отключить подключение» или «отозвать разрешение» не поможет;
· То, что они забрали только SOL, а USDC не тронули, больше похоже на массовую зачистку по заданному скрипту: если твой приватный ключ хранится в базе, ты уже в списке.
Пять правил для розничных инвесторов:
1）Считай любой адрес, приватный ключ которого ты импортировал, скомпрометированным: создай новый кошелёк с новой сид-фразой и переведи туда активы;
2）Для любых ботов используй только кошелёк с мелкими суммами — клади туда лишь то, что собираешься потратить за день;
3）Никогда не вводи сид-фразу и приватный ключ основного кошелька ни в какого бота, на сайт или в форму;
4）Если можно использовать сессионные ключи или разрешения с лимитами по сумме и времени, не отдавай весь приватный ключ;
5）«Обещание возместить ущерб» не означает, что сервис безопасен. Дождись отчёта о причинах и только потом решай, возвращаться ли.
Я всегда щедр с красивыми девушками: запасной ключ дать могу, а ключ от спальни — никогда 😏
#链上安全 #钱包安全 #Solana