Un pirate a vidé 48 portefeuilles appartenant à neuf utilisateurs du bot de trading Bloom en 94 secondes, le lundi 26 octobre, et emporté 9 408 SOL, selon une enquête on-chain de Bitquery. Bitquery chiffre le butin à environ 953 000 $, au cours du SOL pendant le vol (autour de 101,3 $). Seul le SOL a été balayé ; les stablecoins logés dans les mêmes portefeuilles ont été laissés pour plus tard.
Dans le piratage du bot Bloom, deux récits ne concordent pas. Bloom, un bot Telegram pour Solana et les chaînes EVM, affirme qu’aucune clé privée n’a été compromise et met en cause une faille d’exécution de code à distance (RCE) dans un module logiciel tiers. Bitquery lit la blockchain autrement : chaque vidage est un simple transfert de SOL signé uniquement par la clé du portefeuille vidé. Personne n’a publié de preuve de la cause. Bloom a promis un remboursement intégral, sans donner de date.
Les décomptes varient un peu. Dans un message sur X, Bloom estime la perte à environ 9 408 SOL, soit 947 000 $, prélevés sur « 49 adresses de portefeuille appartenant à 9 utilisateurs » ; les premiers relevés on-chain évoquaient environ 954 000 $, a relevé Bitcoin.com News. Bitquery compte 48 portefeuilles vidés, car l’une des 49 adresses n’a jamais effectué de transaction : smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il n’y avait rien à y prendre. Les montants en dollars diffèrent surtout par le cours du SOL retenu.
Piratage du bot Bloom, ce que montre la chaîne : 94 secondes, 48 portefeuilles, neuf traders
Bitquery a reconstitué la nuit minute par minute. Vers 00:59 UTC le 26 octobre, deux tentatives sur le plus gros portefeuille du premier trader échouent. À 01:00:28 UTC, un transfert-test de 0,01 SOL part vers une adresse neuve, 7kY8qx8MqJ7Rz2vMhgHETdZLHcTp1oM78AA9dmE9p8BQ, qui n’avait jamais reçu de SOL. Neuf autres micro-tests suivent en deux minutes, un par trader, à quelques secondes d’écart.
Vient ensuite le balayage. Le premier vidage complet a lieu à 01:03:07 UTC. Le plus gros transfert, 1 636 SOL (environ 166 000 $), passe à 01:03:50 UTC ; l’outil de suivi on-chain Onchain Lens l’a signalé, a rapporté Bitcoin.com News. Le dernier vidage tombe à 01:04:41 UTC.
Chaque vidage est un transfert de SOL tout simple, indique Bitquery, signé uniquement par la clé du portefeuille que l’on vide. Pas d’approbation de jetons, pas de contrat intelligent, pas de cosignataire. Le script a procédé trader par trader, dans un ordre fixe, portefeuille le plus garni en premier ; il a payé les mêmes 0,000105 SOL de frais sur chaque transaction (pourboire de priorité de 0,0001 SOL compris) et laissé une poussière de SOL, environ 0,0014, dans chaque portefeuille. Pour Bitquery, il s’agit d’une attaque scriptée par quelqu’un qui connaissait déjà la liste des portefeuilles et pouvait signer pour eux.
À 04:30:56 UTC, trois heures et demie après le vol, la totalité des 9 408,21 SOL est transférée d’un seul coup vers un portefeuille de stockage, 6nYyCzJJzErbmfxvXqzbAqwoBzNvXUiwr15KCkcgmoe9. Selon la chronologie de Bitquery, le premier message de Bloom sur X date d’environ 04:37 UTC.
Les USDC pour lesquels le pirate est revenu
Environ 56 853 $ d’USDC dormaient dans les 48 portefeuilles au moment du vol, a constaté Bitquery, dont l’essentiel (environ 49 041 $) dans un seul portefeuille du premier trader. À 01:08:51 UTC, le pirate tente de les déplacer et échoue : le portefeuille n’a plus assez de SOL pour payer les frais. À 01:28:43 UTC, il lui envoie 0,02 SOL pour les couvrir. Le propriétaire a été plus rapide : il sort 48 550 USDC à 01:30:19 UTC. Quand le transfert du pirate passe enfin, à 01:46:03 UTC, il reste environ 0,52 USDC.
Les propriétaires ont mis à l’abri quelque 52 035 $ d’USDC cette nuit-là. Il restait 4 818 $ dans les portefeuilles vidés quand Bitquery les a relevés à 06:33 UTC.
Pertes par trader : de 1 864 SOL à 650 SOL
Les neuf victimes ont perdu entre 650 et 1 864 SOL chacune. La perte médiane par portefeuille s’élève à environ 89 SOL, soit à peu près 9 000 $. Peu de victimes et de gros soldes : c’est ce qui distingue Bloom des incidents de bots de septembre.
| Trader (numérotation de Bitquery) | Portefeuilles vidés | SOL volés | Valeur à l’époque |
|---|---|---|---|
| Trader 1 | 5 | 1 864 | 189 000 $ |
| Trader 2 | 4 | 1 146 | 116 000 $ |
| Trader 3 | 6 | 1 309 | 133 000 $ |
| Trader 4 | 1 | 1 040 | 105 000 $ |
| Trader 5 | 1 | 1 022 | 103 000 $ |
| Trader 6 | 5 | 865 | 88 000 $ |
| Trader 7 | 7 | 771 | 78 000 $ |
| Trader 8 | 12 | 650 | 66 000 $ |
| Trader 9 | 7 | 742 | 75 000 $ |
Bitquery ajoute une réserve. Le regroupement des portefeuilles par trader est solide pour sept des neuf ; pour les traders 3 et 7, il repose surtout sur l’ordre dans lequel les portefeuilles ont été vidés.
Bloom met en cause un module tiers et affirme qu’aucune clé privée n’a été compromise
Le message détaillé de Bloom est paru sur X à 09:12 UTC le 26 octobre, environ huit heures après le vol. « Aucune clé privée n’a été consultée ni compromise, et nous avons écarté toute exposition plus large des portefeuilles de nos utilisateurs », a écrit l’entreprise. Selon elle, l’attaque a « exploité un module tiers via une vulnérabilité complexe d’exécution de code à distance (RCE) » et elle a « identifié le vecteur d’attaque exact ». Elle n’a nommé ni le module, ni le fournisseur, ni le vecteur.
Sur les remboursements, Bloom dit qu’elle « remboursera intégralement 100 % des fonds volés, directement sur des portefeuilles sécurisés désignés par les utilisateurs touchés ». Son message précédent, vers 04:37 UTC, promettait déjà de « rembourser intégralement les fonds perdus par les 9 portefeuilles touchés », rapporte Bitquery. Aucune date n’est fixée, et rien sur la chaîne n’indiquait de remboursement au 27 octobre.
Tous les systèmes de Bloom ont été mis hors ligne « par mesure de sécurité préventive », et les utilisateurs devront se reconnecter à Bloom Manager et à l’extension Chrome à la reprise du service, rapporte Bitcoin.com News. Bloom dit suivre les fonds à la trace, étudier un gel ou une récupération et chercher à identifier le pirate ; elle conseille aux utilisateurs touchés de déplacer ce qui leur reste vers des portefeuilles tout neufs.
L’équipe affirme développer des logiciels depuis 2018 et opérer dans la crypto depuis 2021. Coindaro n’a trouvé aucun chiffre publié sur son nombre d’utilisateurs ni sur son volume d’échanges ; son compte X comptait environ 26 500 abonnés le 27 octobre.
Pourquoi les deux versions s’opposent
Bitquery ne tranche pas sur la cause. Il rappelle que Bloom a d’abord dit vérifier si « un prestataire tiers pouvait avoir été compromis », et il considère la cause comme non confirmée.
Sa trace cadre pourtant mal avec la ligne « aucune clé ». Le bot de Bloom signe les ordres sur ses propres serveurs et garde la clé privée de chaque portefeuille utilisé avec lui, explique Bitquery. Un simple transfert de SOL sur Solana n’exige qu’une chose : une signature valide de la clé du portefeuille. Si chaque vidage a été signé par cette clé, celui qui a lancé le script savait produire ces signatures. Soit les clés ont été copiées, soit l’attaquant a fait signer les systèmes de Bloom à sa place ; une faille RCE sur un serveur colle avec la seconde lecture. Bitquery avance une troisième piste, un logiciel malveillant sur l’ordinateur de chaque trader ou la fuite de clés que les traders avaient exportées. Aucune n’a été démontrée.
La différence compte pour les utilisateurs. Si les clés ont été copiées, tout portefeuille dont la clé a un jour résidé sur les serveurs de Bloom reste exposé tant que ses fonds n’ont pas bougé. Si l’attaquant n’a fait qu’emprunter le système de signature de Bloom pendant 94 secondes, le risque disparaît une fois ce système réparé. Le conseil de Bloom de passer à de nouveaux portefeuilles ressemble au premier cas. Pour comprendre comment une seule clé commande un portefeuille, lisez notre guide sur les clés privées et publiques.
Où sont les 9 408 SOL : les 20 premiers SOL ont bougé
À 07:34 UTC le 26 octobre, dernier transfert lu par Bitquery, le portefeuille de stockage n’avait rien envoyé, et aucune plateforme d’échange, aucun pont ni aucun mixeur n’avait touché l’une ou l’autre des adresses du pirate.
Cela a changé le 27 octobre. Coindaro a lu l’historique du portefeuille de stockage sur un nœud public du réseau principal Solana à 11:55 UTC ce jour-là. Il avait envoyé deux transferts de 10 SOL chacun, à 06:40:55 UTC et à 11:42:44 UTC, vers deux adresses neuves (GfHDgSHQwBw5ssuMRdfw9JLKWzQAvnwJ7ajk7SuzdeFr et HqCbwhMAJgf3EMabx3Kty8mCo9E2ZjqoHcNDbonPP9Am). Toutes deux ont été vidées en quelques heures par une série de transferts plus petits, souvent d’environ 1 SOL, vers d’autres adresses, que Coindaro n’a pas suivies plus loin. Le solde du portefeuille de stockage s’élevait à 9 388,21 SOL à 11:55 UTC.
Le reste de ses entrées n’est que de la poussière : des transferts de 0,0001 SOL ou moins, venus d’adresses qui commencent par les mêmes caractères que celle du pirate, ce que Bitquery décrit comme de l’empoisonnement d’adresse (address poisoning), des adresses sosies destinées à être copiées par erreur. Notre guide sur les adresses empoisonnées et les faux airdrops explique le procédé.
Comme le pirate détient du SOL, la valeur en dollars suit le marché. Le SOL s’échangeait près de 100 $ à 11:32 UTC le 27 octobre, en baisse de 1,34 % sur 24 heures, ce qui valorise les 9 388 SOL restant dans le portefeuille de stockage à environ 939 000 $.
La moitié des portefeuilles vidés étaient endormis
Beaucoup de victimes n’étaient pas des utilisateurs actifs de Bloom. Les 48 portefeuilles avaient tous payé au moins une fois des frais à Bloom, mais 24 n’en avaient payé aucun dans les 30 jours précédant l’attaque, et cinq avaient fait leur dernière opération via Bloom entre janvier et mai 2025, selon Bitquery.
Une clé stockée sur les serveurs d’un bot n’expire pas quand on arrête de trader. Tant que le portefeuille contient des fonds, quiconque obtient un accès de signature peut le vider, que son propriétaire se soit connecté la semaine dernière ou l’an dernier.
Piratages de bots de trading avant Bloom, de Maestro à TradeWiz
Deux bots Ethereum ont été touchés à une semaine d’intervalle en octobre 2023 : Maestro le 24 octobre et Unibot le 31, pour environ 1,1 million de dollars au total, d’après l’analyse de CertiK. Les deux avaient des contrats de routage qui permettaient à un tiers d’appeler transferFrom sur des jetons que les utilisateurs avaient approuvés. Les approbations ont servi de porte d’entrée, ce qui n’est pas le cas chez Bloom.
Sur Solana, le bot Telegram Solareum a perdu plus de 2 800 SOL (environ 520 000 $) au détriment de plus de 300 utilisateurs fin mars 2024 et a annoncé le 31 mars sa fermeture, a rapporté Cointelegraph. L’article ne mentionne aucun remboursement. BONKbot, d’abord soupçonné, a assuré qu’il n’était pas touché et que la faille visait « une autre application Solana ».
Banana Gun a pris l’autre chemin. Ses utilisateurs ont signalé des transferts non autorisés le 19 septembre 2024. L’analyse a posteriori de l’équipe, rapportée le 25 septembre, chiffrait les pertes à 3 millions de dollars pour 11 utilisateurs, évoquait une faille présumée dans un oracle de messages Telegram, corrigée depuis, et promettait que « tous les utilisateurs touchés seront intégralement remboursés par la trésorerie de Banana Gun », a rapporté Cointelegraph.
Bitquery recense aussi deux cas de septembre 2026 que Coindaro n’a pas vérifiés de façon indépendante. LootBot, un bot d’airdrops Ethereum sur Telegram, a perdu environ 627 000 $ sur quelque 2 400 portefeuilles les 7 et 8 septembre, pour une perte médiane d’environ 26 $. TradeWiz, sur Solana, a perdu environ 459 000 $ sur plus de 20 000 portefeuilles le 30 septembre, soit une médiane de 63 centimes. C’étaient de larges filets avec de petites sommes par victime. Bloom est l’inverse : neuf personnes, de gros soldes, vidés dans l’ordre.
Bots de trading Telegram : qui détient vos clés privées ?
La plupart des bots de trading Telegram ou web sont, dans les faits, des services de garde. À l’inscription, le bot crée un portefeuille pour vous et conserve sa clé privée sur ses serveurs, pour signer les ordres en une fraction de seconde sans rien demander. Cette rapidité fait le produit. Elle signifie aussi que le bot, et quiconque pénètre chez lui ou chez l’un de ses fournisseurs, peut déplacer vos fonds. Notre guide des portefeuilles crypto et de la garde détaille la différence entre un portefeuille que vous contrôlez et un portefeuille tenu pour vous.
En France, la question se pose aussi sur le plan réglementaire. Le règlement européen MiCA exige qu’un prestataire qui conserve des crypto-actifs pour le compte de clients soit agréé comme prestataire de services sur crypto-actifs, et l’AMF supervise ceux qui opèrent en France. Reste à savoir si un bot Telegram qui détient les clés de ses utilisateurs relève de cette activité de garde : la question est ouverte, et Coindaro n’a trouvé aucune réaction d’un régulateur européen à ce piratage.
Quelques habitudes limitent les dégâts quand un bot est violé :
- Ne laissez dans un portefeuille de bot que ce avec quoi vous tradez maintenant, et renvoyez vos gains vers un portefeuille dont la clé n’a jamais quitté votre appareil.
- Videz les portefeuilles de bot que vous n’utilisez plus : 24 des 48 portefeuilles vidés chez Bloom n’avaient payé aucun frais depuis au moins un mois.
- Après un incident chez votre bot, déplacez les fonds restants vers un portefeuille fraîchement généré plutôt que de réutiliser l’ancienne adresse.
- Considérez l’export de la clé d’un portefeuille de bot vers d’autres applications comme un risque supplémentaire, pas comme une sauvegarde : la clé vit alors à deux endroits.
- Vérifiez l’adresse de destination en entier avant tout envoi après un piratage : des adresses sosies circulent déjà autour de celle-ci.
Les victimes qui espèrent voir revenir leurs fonds peuvent lire ce qui fonctionne réellement pour récupérer des cryptos volées. Des identifiants conservés sur les serveurs d’un tiers étaient aussi le point faible la veille, dans la cyberattaque contre GMO Internet au Japon.
Ce que l’on ignore encore
L’identité du pirate, et la manière dont il a pu signer pour 48 portefeuilles. Bloom n’a nommé ni le module tiers ni le fournisseur à l’origine de la faille RCE qu’elle décrit, et personne n’a publié d’analyse technique a posteriori. Tant qu’il n’y en a pas, « aucune clé privée n’a été compromise » et le schéma de signatures relevé par Bitquery coexistent sans se recouper.
On ignore aussi pourquoi ces neuf traders ont été choisis ; leurs gros soldes et les nombreux portefeuilles endormis sont les seuls indices. Le remboursement n’a pas de date, et Bloom n’a pas dit quand ses systèmes reviendraient. Les prochains signaux viendront de la chaîne : la destination des 20 premiers SOL sortis de 6nYyCzJJzErbmfxvXqzbAqwoBzNvXUiwr15KCkcgmoe9, la suite éventuelle des mouvements, et le premier transfert de remboursement de Bloom vers les victimes.