Unos atacantes robaron 9.408 SOL, valorados en aproximadamente 953.000 dólares, de 48 monederos vinculados a nueve operadores del bot de negociación Bloom en Telegram. El ataque se ejecutó en apenas 94 segundos y, según la firma de análisis de cadenas de bloques Bitquery, tuvo lugar el lunes 26 de octubre.
Bloom permite comprar y vender criptomonedas de forma automatizada desde Telegram. Para operar, el bot necesita acceder a las claves privadas de los monederos de sus usuarios, un requisito que vuelve especialmente sensible cualquier vulnerabilidad en su infraestructura o en los servicios de terceros con los que trabaja.
Las transacciones fueron firmadas con las claves de los monederos
El análisis de Bitquery apunta a que todas las operaciones consideradas sospechosas fueron firmadas con las claves privadas correctas de los monederos afectados. A partir de ese indicio, los investigadores sospechan que el atacante pudo acceder a esas claves, aunque todavía no se ha establecido el método utilizado.
La mayoría de los fondos sustraídos se transfirió posteriormente a un único monedero. El ataque afectó a decenas de cuentas y no se limitó a usuarios que hubieran utilizado Bloom recientemente. Cinco de los monederos comprometidos no habían operado a través del bot desde la primera mitad de 2025, según Bitquery.
Este último detalle amplía el alcance potencial del incidente: los usuarios que habían dejado de utilizar el servicio también seguían expuestos. La permanencia de autorizaciones o credenciales asociadas a un bot puede mantener abierta esa superficie de riesgo incluso cuando no se están ejecutando operaciones de forma activa.
Bloom atribuye el ataque a un programa de terceros
Bloom sostiene que el incidente se originó en una vulnerabilidad de un programa de terceros. Según la empresa, ese fallo permitió a los atacantes ejecutar órdenes de forma remota. Al mismo tiempo, la compañía afirma que no se robaron ni se filtraron claves privadas.
Esa explicación no encaja por completo con las conclusiones publicadas por Bitquery. El hecho de que las transacciones fueran firmadas con las claves privadas de los monederos afectados llevó a los investigadores a plantear que el atacante tuvo acceso a ellas, aunque no se ha confirmado si fueron extraídas, utilizadas a través de un componente comprometido o expuestas de otra manera.
Bloom se ha comprometido a reembolsar íntegramente las pérdidas a los nueve operadores afectados. La empresa no ha precisado en la información disponible cómo se articulará esa compensación ni cuándo se completarán los reembolsos.
Un riesgo recurrente en los bots de negociación
El caso se suma a otros incidentes que han afectado a bots de negociación utilizados desde Telegram. En septiembre de 2024, once usuarios de Banana Gun perdieron alrededor de 3 millones de dólares en un ataque. Un año antes, Maestro y Unibot sufrieron ataques que provocaron pérdidas conjuntas de aproximadamente 1,1 millones de dólares.
La sucesión de episodios pone de relieve el riesgo que asumen los usuarios al conceder a estos servicios acceso operativo a sus monederos. El incidente de Bloom añade además un matiz relevante: la exposición puede mantenerse aunque el usuario lleve meses sin utilizar el bot. Por ahora, la investigación no ha determinado cómo se produjo el acceso que permitió mover los fondos.
