Приватный ключ не потерян, а деньги исчезли: компенсация Bloom в размере 950 тысяч долларов заслуживает большего внимания, чем сама атака
Сегодня Bloom Trading опубликовала результаты расследования: 9 пользователей, 49 кошельков, 9 408 SOL (около 947 тысяч долларов). Точкой входа для атаки стала уязвимость RCE в стороннем модуле. Приватные ключи не были затронуты и не утекли.
Если поставить эти два утверждения рядом, получится сочетание, над которым сегодня стоит на секунду задуматься: можно как угодно тщательно хранить сид-фразу, но злоумышленник всё равно сможет унести деньги, проникнув через небольшой модуль, от которого вы зависите.
Это уже не единичный случай. В отчёте Hacken за третий квартал есть такие цифры: в третьем квартале 2026 года криптоиндустрия потеряла из-за хакерских атак 1,18 миллиарда долларов, причём 77% (около 906 миллионов долларов) напрямую пришлось на взломанных сторонних поставщиков, инструменты для разработки, неустановленные патчи и компоненты, не проходившие аудит. Иными словами, большая часть бюджета отрасли на безопасность уходит на аудит собственных смарт-контрактов, а деньги теряются из-за «чужих модулей».
То, как поступила Bloom, — ещё один заслуживающий внимания момент этой новости: компания пообещала возместить ущерб полностью, сначала отключила систему и лишь затем начала расследование; после восстановления пользователям потребуется заново подтвердить личность. В отрасли, где почти на автомате сначала всё отрицают, потом расследуют, а в конце глубоко сожалеют, признать ответственность и приостановить работу в тот же день — само по себе редкий актив.
Для сравнения достаточно взглянуть на другой случай, произошедший в тот же день. CoinDCX признала убыток в 15,99 млн USDT, хотя всего за три дня до этого генеральный директор назвал соответствующие сообщения в X «ложной тревогой». В итоге выяснилось, что сервис автоматического сбора средств не сработал, и деньги застряли на старом адресе, взломанном ещё в июле 2025 года. Bloom в день происшествия ясно сказала «возместим», а CoinDCX сначала заявила «ничего не произошло» и лишь через три дня признала, что произошло.
Главное: прежде чем в следующий раз подтверждать разрешение на доступ, проверьте не только адрес контракта, но и уделите десять секунд вопросу: кто обслуживает этот модуль, меняли ли его недавно и когда было последнее обновление? Безопасность приватного ключа — это необходимый минимум, но за его пределами тянется целая цепочка зависимостей, которую вы можете даже не видеть.
$SOL #安全 #BinanceSquare
Сегодня Bloom Trading опубликовала результаты расследования: 9 пользователей, 49 кошельков, 9 408 SOL (около 947 тысяч долларов). Точкой входа для атаки стала уязвимость RCE в стороннем модуле. Приватные ключи не были затронуты и не утекли.
Если поставить эти два утверждения рядом, получится сочетание, над которым сегодня стоит на секунду задуматься: можно как угодно тщательно хранить сид-фразу, но злоумышленник всё равно сможет унести деньги, проникнув через небольшой модуль, от которого вы зависите.
Это уже не единичный случай. В отчёте Hacken за третий квартал есть такие цифры: в третьем квартале 2026 года криптоиндустрия потеряла из-за хакерских атак 1,18 миллиарда долларов, причём 77% (около 906 миллионов долларов) напрямую пришлось на взломанных сторонних поставщиков, инструменты для разработки, неустановленные патчи и компоненты, не проходившие аудит. Иными словами, большая часть бюджета отрасли на безопасность уходит на аудит собственных смарт-контрактов, а деньги теряются из-за «чужих модулей».
То, как поступила Bloom, — ещё один заслуживающий внимания момент этой новости: компания пообещала возместить ущерб полностью, сначала отключила систему и лишь затем начала расследование; после восстановления пользователям потребуется заново подтвердить личность. В отрасли, где почти на автомате сначала всё отрицают, потом расследуют, а в конце глубоко сожалеют, признать ответственность и приостановить работу в тот же день — само по себе редкий актив.
Для сравнения достаточно взглянуть на другой случай, произошедший в тот же день. CoinDCX признала убыток в 15,99 млн USDT, хотя всего за три дня до этого генеральный директор назвал соответствующие сообщения в X «ложной тревогой». В итоге выяснилось, что сервис автоматического сбора средств не сработал, и деньги застряли на старом адресе, взломанном ещё в июле 2025 года. Bloom в день происшествия ясно сказала «возместим», а CoinDCX сначала заявила «ничего не произошло» и лишь через три дня признала, что произошло.
Главное: прежде чем в следующий раз подтверждать разрешение на доступ, проверьте не только адрес контракта, но и уделите десять секунд вопросу: кто обслуживает этот модуль, меняли ли его недавно и когда было последнее обновление? Безопасность приватного ключа — это необходимый минимум, но за его пределами тянется целая цепочка зависимостей, которую вы можете даже не видеть.
$SOL #安全 #BinanceSquare
