币圈界报道：

94秒内48个Bloom关联钱包遭劫，链上签名成安全盲区

10月26日，一场精准的网络攻击在94秒内从48个与Telegram交易机器人Bloom绑定的钱包中提取了总计9,408枚SOL，约合95.3万美元。此次事件揭示了依赖第三方自动化工具进行加密资产操作所隐藏的重大安全隐患——即使私钥未被直接窃取，授权签名仍可能被滥用。

资金转移路径高度集中，攻击者锁定单一接收地址

区块链分析机构Bitquery追踪到，所有被盗资金几乎全部汇入一个单一接收地址，且截至调查发布时仍未被转移。攻击者采取分阶段策略，先以小额测试转账探测系统反应，随后按余额从高到低顺序批量清空目标钱包。值得注意的是，受影响钱包中留存约57,000美元USDC，表明攻击者仅针对SOL资产。

长期未活跃账户仍处于风险之中，访问权限未随停用解除

调查发现，48个被清空的钱包中有24个在过去一个月内未通过Bloom进行过任何交易，其中五个甚至自2025年上半年起已停止使用。这一现象表明，即便用户终止服务使用，其钱包仍可能保留在系统的访问权限列表中，形成持续性的安全敞口。当前技术手段尚无法解释该权限为何未被自动清除。

签名授权不等于密钥泄露，攻击路径仍待解密

Bloom将事故归因于第三方模块中的远程代码执行漏洞，声称未发生私钥外泄。然而，链上记录显示每笔转出均使用钱包自身密钥完成签名，且无额外授权或合约介入。这说明攻击者可能通过恶意脚本操控了签名流程，而非直接获取密钥。类似情况曾出现在Bitget事件中，凸显“信任链”受损比“密钥丢失”更具隐蔽性。

赔偿承诺缓解财务影响，但真相验证仍缺关键证据

尽管Bloom宣布将全额补偿受影响用户，并计划将赔偿款直接注入用户指定的新钱包，但尚未公布具体到账时间表。该承诺虽可减轻直接经济损失，但无法替代对根本原因的技术复盘。在缺乏透明披露的情况下，用户难以判断系统是否真正修复，也无法确认未来风险是否可控。

自动化便利背后的控制权让渡，用户需重新评估信任边界

Telegram交易机器人之所以便捷，是因为其持有用户交易权限，相当于将钱包控制权部分委托给平台。这种模式使用户面临远超区块链本身的安全威胁——一旦底层软件或基础设施出现漏洞，即使用户不主动操作，资金也可能被强制调拨。此前针对macOS设备的恶意软件亦能侵入会话并窃取钱包数据，印证了风险多源性。

恢复服务前的关键考验：透明披露与防护机制重建

Bloom后续必须提供详尽的技术报告、赔偿进度证明及新安全架构说明。只有当这些信息公开可查，用户才有可能重新建立对其系统的信任。目前唯一确定的事实是：9,408枚SOL在极短时间内被转移，而平台已承诺承担全部后果，但技术层面的真相仍在迷雾之中。