Por Canuto  

Un ataque vació 9.408 SOL, valorados en cerca de USD $953.000, de 48 billeteras vinculadas al bot de trading Bloom en apenas 94 segundos. La empresa prometió reembolsar a los afectados y atribuyó el incidente a una vulnerabilidad en un módulo de terceros; su explicación sobre las claves privadas aún deja preguntas abiertas.

***

  • Bitquery contabilizó retiros de 9.408 SOL en 48 billeteras asociadas a nueve traders, en un lapso de 94 segundos.
  • Bloom atribuyó el incidente a una vulnerabilidad de ejecución remota de código en un módulo de terceros y prometió reembolsos completos.
  • Cinco billeteras drenadas no habían estado activas en el bot desde la primera mitad de 2025, según Bitquery.

 

Un ataque contra billeteras vinculadas al bot de trading de Telegram Bloom terminó con el drenaje de 9.408 tokens de Solana (SOL), valorados en cerca de USD $953.000, según información difundida por la firma de análisis de blockchain Bitquery. Los fondos salieron de 48 billeteras asociadas a nueve traders en apenas 94 segundos. El incidente ocurrió el 26 de octubre de 2026.

Bitquery indicó que los retiros fueron transferencias de SOL firmadas con la clave privada de cada billetera afectada. Esa descripción identifica el mecanismo observado en la cadena, pero no establece por sí sola quién ejecutó las operaciones ni cómo obtuvo acceso a los medios necesarios para firmarlas.

La rapidez y el número de billeteras afectadas muestran que no se trató de una pérdida individual: los retiros alcanzaron a varios usuarios en una misma secuencia. El reporte no detalla cuánto perdió cada trader, por lo que no es posible distribuir el monto total entre las nueve personas afectadas.

Los movimientos ocurrieron en Solana y se ejecutaron desde las billeteras comprometidas, de acuerdo con el análisis citado. La información disponible no precisa el destino posterior de los fondos ni indica si alguna parte fue recuperada. Por eso, el monto señalado corresponde a lo drenado y no necesariamente a una pérdida final tras los reembolsos prometidos.

La explicación de Bloom y la promesa de reembolso

Bloom aseguró que reembolsará por completo a los traders afectados. La promesa responde a la dimensión inmediata del daño, aunque la información disponible no incluye un calendario de pagos, el procedimiento para solicitarlos ni detalles sobre cómo la empresa cubrirá los fondos.

La empresa atribuyó el incidente a una vulnerabilidad de ejecución remota de código en un módulo de terceros. Se trata de la explicación de Bloom: la información disponible no identifica el módulo ni aporta una verificación técnica independiente de cómo se produjo el ataque.

Bloom también afirmó que no se accedió a las claves privadas ni se comprometieron. Esa declaración debe leerse junto con el dato de Bitquery sobre transferencias firmadas con la clave privada de cada billetera, pero ambos elementos no permiten concluir por sí solos qué método utilizó el atacante para autorizar los movimientos.

Una transferencia firmada demuestra que la red recibió una autorización válida, pero no revela automáticamente si la clave se extrajo, si el bot firmó una operación bajo control remoto o si intervino otro mecanismo. Sin información técnica adicional, las declaraciones de Bloom y el análisis en cadena no bastan para establecer una explicación completa.

El riesgo de delegar operaciones a un bot

Los bots de trading permiten ejecutar operaciones mediante una interfaz de mensajería y requieren algún mecanismo de autorización para actuar en nombre del usuario. La información disponible sobre este caso no permite establecer con precisión cómo Bloom gestionaba las claves privadas de sus usuarios; por ello, no puede darse por sentado que el servicio las almacenara o que estas fueran extraídas.

El problema no se limita al momento en que una persona utiliza activamente el servicio. Bitquery señaló que cinco de las billeteras drenadas no habían estado activas en Bloom desde la primera mitad de 2025. Ese dato muestra que la inactividad en el bot no impidió que esas billeteras fueran alcanzadas por el incidente, aunque no explica por sí mismo por qué ocurrió.

La inactividad de esas billeteras tampoco permite saber si sus titulares habían revocado permisos o retirado fondos. Sí pone de relieve una pregunta práctica para quienes delegan operaciones: qué acceso puede persistir después de dejar de usar una aplicación y qué controles permiten cancelarlo.

El caso también ilustra por qué conviene distinguir entre la experiencia de uso y la seguridad técnica. Un bot puede simplificar la ejecución de órdenes, pero los usuarios dependen de la protección de las credenciales, la seguridad de los componentes conectados y la respuesta del proveedor ante una falla. La información disponible no ofrece detalles suficientes para evaluar esos controles en Bloom.

Antecedentes y preguntas pendientes

El incidente se suma a otros episodios en los que usuarios de bots de trading de Telegram perdieron fondos. En septiembre de 2024, Banana Gun informó que 11 usuarios habían perdido alrededor de USD $3.000.000, un caso que muestra que los riesgos asociados a estas herramientas no se limitan a un solo servicio.

Otro antecedente ocurrió en octubre de 2023, cuando usuarios de los bots Maestro y Unibot perdieron en conjunto USD $1.100.000. Esas pérdidas se relacionaron con vulnerabilidades en sus contratos de enrutamiento, según la información disponible, por lo que no corresponde asumir que aquel mecanismo fue el mismo que originó el ataque contra Bloom.

La comparación entre los casos permite reconocer un patrón general de exposición, pero no demuestra que todos compartan causa técnica, responsables o modo de operación. En Bloom, la empresa apuntó a una vulnerabilidad de ejecución remota de código en un módulo externo, mientras que los episodios anteriores mencionados estuvieron relacionados con contratos de enrutamiento.

Quedan por conocerse detalles que ayudarían a esclarecer el incidente: cuál fue el módulo afectado, cómo se produjo la ejecución remota de código y de qué manera se relaciona esa falla con las transferencias firmadas observadas. También falta información sobre el avance de los reembolsos prometidos; por ahora, Bloom ha ofrecido una garantía pública, pero no un cronograma ni una explicación técnica completa.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados