بررسی زنجیره‌ای Bitquery نشان می‌دهد ۴۸ کیف پول مرتبط با سرویس معاملات خودکار Bloom در فاصله‌ای حدوداً ۹۴ ثانیه‌ای، مجموعاً ۹۴۰۸ واحد سولانا را از دست داده‌اند. این انتقال‌ها با کلیدهای خود کیف‌ها امضا شده بود؛ موضوعی که احتمال دسترسی به کلید خصوصی یا سوءاستفاده از مسیری برای امضای تراکنش را مطرح می‌کند، اما هنوز مشخص نیست مهاجم دقیقاً چگونه به اختیار امضای تراکنش‌ها دست یافته است.
Bloom در به‌روزرسانی ۲۶ اکتبر، دسترسی یا افشای کلیدهای خصوصی را رد کرد و این رخداد را به آسیب‌پذیری اجرای کد از راه دور در یک ماژول شخص ثالث نسبت داد. این شرکت اعلام کرد کیف‌هایی که تحت‌تأثیر قرار نگرفته‌اند امن هستند. ساعاتی بعد نیز گفت ۹ کاربر آسیب‌دیده به‌طور کامل جبران خسارت شده‌اند و برای این بازپرداخت، ۹ تراکنش را به مجموع ۹۴۰۸ SOL مرتبط کرد.
جزئیات برداشت از کیف‌ها
بر اساس بازسازی Bitquery، تخلیه موجودی‌ها در ۲۶ اکتبر از ساعت ۰۱:۰۳:۰۷ تا ۰۱:۰۴:۴۱ به وقت هماهنگ جهانی انجام شده است. هر برداشت یک انتقال ساده SOL بوده که فقط با کلید کیف آسیب‌دیده امضا شده و در آن نه امضاکننده دوم وجود داشته و نه تأییدیه‌ای برای انتقال توکن‌ها.
۴۸ کیف مورد بررسی از طریق پرداخت‌های قبلی کارمزد به Bloom شناسایی شده‌اند و Bitquery آن‌ها را در میان ۹ معامله‌گر دسته‌بندی کرده است. این شرکت داده‌ای گفته است دو گروه عمدتاً بر اساس ترتیب برداشت‌ها به Bloom نسبت داده شده‌اند. همچنین ۲۴ کیف در ماه پیش از حادثه هیچ کارمزد معاملاتی به Bloom نپرداخته بودند و پنج کیف آخرین کارمزد خود را بین ژانویه تا مه ۲۰۲۵ پرداخت کرده بودند.
این ارقام اهمیت کیف‌های قدیمی یا کم‌استفاده را نشان می‌دهد. توقف فعالیت ربات معاملاتی لزوماً اختیار انتقال دارایی را از بین نمی‌برد؛ اگر کلید کنترل‌کننده کیف در اختیار شخص دیگری قرار گرفته باشد، او می‌تواند بعداً و تا زمانی که دارایی در همان آدرس باقی است، انتقال تازه‌ای را امضا کند.
قفل آدرس برداشت چه چیزی را محافظت می‌کند؟
Bloom در راهنمای خود قابلیتی برای قفل‌کردن آدرس برداشت معرفی کرده است. هنگام فعال‌بودن این قفل، آدرس مقصد قابل تغییر نیست و در صورت بازکردن قفل، تغییر آن با یک دوره انتظار ۲۴ ساعته همراه می‌شود. گزینه‌های تعیین، قفل و بازکردن آدرس از منوی برداشت یا فرمان /withdraw در دسترس هستند.
این سازوکار می‌تواند مانع تغییر مقصد برداشت از داخل همان فرایند خدماتی شود؛ برای نمونه، اگر حساب کاربری سرویس در معرض خطر قرار گرفته باشد. با این حال، قفل آدرس به‌تنهایی اختیار کلید اصلی کیف را محدود نمی‌کند. اگر کلید خصوصی کپی شده باشد، مهاجم می‌تواند تراکنشی تازه برای مقصدی دیگر بسازد، بدون آن‌که آدرس ذخیره‌شده در Bloom را تغییر دهد.
مستندات تراکنش سولانا توضیح می‌دهد که تراکنش شامل دستورها، امضاهای حساب‌هایی است که تغییر را مجاز می‌کنند و یک هش بلوک اخیر است. در راهنمای امضا نیز آمده است که هر امضاکننده موردنیاز باید امضای معتبر ارائه کند. بنابراین، مشاهده امضای مالک کیف نشان می‌دهد انتقال با اختیار معتبر آن کیف انجام شده، اما به‌تنهایی مشخص نمی‌کند کلید به‌صورت مستقیم کپی شده یا یک سامانه مجاز به امضاکردن از آن سوءاستفاده کرده است.
Bloom در صفحه محصول خود، محصولات Extension، Manager و Telegram را دارای موتور اجرایی مشترک معرفی می‌کند. در نتیجه، اگر همان کلید کیف از رابط دیگری استفاده شود، سطح اختیار آن نسبت به دارایی تغییر نمی‌کند. به همین دلیل، مسئله اصلی در این رخداد جدا از قفل آدرس، شناسایی مسیری است که امکان امضای انتقال‌ها را فراهم کرده است.
جبران خسارت انجام شد، اما پرسش فنی باقی است
Bloom اعلام کرده است تمام ۹ کاربر آسیب‌دیده را بازپرداخت کرده و وجوه به کیف‌های امنی که کاربران تعیین کرده‌اند منتقل شده است. این اقدام، زیان مالی اعلام‌شده را برای کاربران جبران می‌کند؛ با این حال، پرسش درباره منشأ اختیار امضا همچنان جداگانه باقی می‌ماند.
در گزارش Bitquery درباره یک رخداد دیگر مرتبط با TradeWiz نیز نمونه‌ای از خطر باقی‌ماندن اختیار امضا در یک کیف قدیمی مطرح شده است؛ این گزارش به‌تنهایی علت مشترکی میان دو حادثه اثبات نمی‌کند. Bitquery تاریخ تخلیه اصلی TradeWiz را ۳۰ سپتامبر اعلام کرده و گفته است ۲۰۷۹۳ کیف از SOL خالی شده‌اند. در همان رخداد، دو آدرس پس از دریافت سپرده تازه، ظرف چهار ثانیه دوباره تخلیه شدند.
این نمونه‌ها تفاوت میان تغییر دسترسی به یک سرویس و تغییر کنترل دارایی را برجسته می‌کنند. تغییر رابط کاربری، حساب ورود یا تنظیمات یک ربات، در صورتی که همان کلید قدیمی همچنان کنترل‌کننده باشد، اختیار قبلی را از بین نمی‌برد. همچنین واردکردن همان کلید در برنامه‌ای دیگر، مالکیت امضای آن را تغییر نمی‌دهد. در مقابل، انتقال دارایی به کیف تازه‌ای که کلید آن در معرض خطر نباشد، دارایی را از اختیار کلید قدیمی خارج می‌کند؛ البته کلید تازه نباید دوباره در محیط امضایی در معرض خطر استفاده شود.
تا این مرحله، Bloom دسترسی به کلید خصوصی را رد کرده و آسیب‌پذیری یک ماژول شخص ثالث را عامل رخداد دانسته است، در حالی که تحلیل Bitquery انتقال‌هایی را نشان می‌دهد که با کلیدهای خود کیف‌ها امضا شده‌اند. بنابراین، مسیر دقیق رسیدن مهاجم به اختیار امضا هنوز حل‌نشده است.
تصویر بازار سولانا بر اساس داده‌های Moneyiar
طبق داده‌های بازار Moneyiar در ۲۵ اکتبر ۲۰۲۶ ساعت ۲۲:۳۹ به وقت ایران، قیمت SOL برابر با ۱۰۱٫۵۹۷۸۸۵۶۷۰۹ دلار بوده است. این دارایی در ۲۴ ساعت ۰٫۰۳ درصد افزایش و در بازه هفت‌روزه ۱٫۵۲ درصد کاهش داشته است. این ارقام صرفاً تصویر قیمت و تغییرات بازار در زمان اعلام‌شده را نشان می‌دهند و ارتباطی با علت یا پیامد فنی حادثه Bloom ندارند.
این گزارش نخستین‌بار بر پایه گزارش CryptoSlate و داده‌های زنجیره‌ای مطرح شده است.
