取引ボット「ブルーム」、94秒でSOL9408枚流出 全額補填を約束

ソラナ（SOL）などで暗号資産を売買するテレグラム取引ボット「ブルーム（Bloom）」の利用者9人のウォレットから、韓国時間10月26日午前、SOL約9408枚が流出した。当時の相場で約95万ドル相当だ。ブルームは同日夜、公式Xアカウントで声明を出し、「盗まれた資金を100%補填する」と明らかにした。

ブルームは、攻撃は外部業者が作ったモジュール（部品となるプログラム）のリモートコード実行（RCE）脆弱性を突いたもので、利用者の秘密鍵は流出していないと説明した。一方、ブロックチェーン分析企業ビットクエリ（Bitquery）は調査報告書で、流出した取引はすべてウォレット所有者の秘密鍵で署名されていたとしており、原因をめぐる両者の説明は食い違っている。

94秒でウォレット48個が空に

ビットクエリの報告書によると、攻撃者は26日午前10時（韓国時間）ごろ、残高が最も多いウォレットから0.01SOLを新しいアドレスに送って試した。2分もたたないうちに、被害者9人のウォレットから数秒間隔で少額をもう1回ずつ引き出した。本格的な引き出しは午前10時3分7秒に始まり、10時4分41秒に終わった。94秒間でウォレット48個が次々と空になり、1回で最も多く流出したのは1636SOLだった。

被害者9人のうち最も多く失った人は、ウォレット5個から1864SOL（約18万9000ドル）を失った。ウォレット1個当たりの被害額の中央値は約89SOL（約9000ドル）だ。ウォレットに残っていたUSDC約5万6853ドルのうち、約5万2035ドルは所有者が先に安全な場所へ移した。盗まれたSOLは午後1時30分ごろ保管用ウォレット1つ（6nYyCz…moe9）に集められ、ビットクエリが最後に確認した午後4時34分まで、このウォレットから外部への送金はなかった。

「鍵は無事」対「所有者の鍵で署名」

被害ウォレットの数も、ブルームは49個、ビットクエリは48個と1つ食い違う。ビットクエリは、48個のウォレットを9人に分けたうち2人分については、引き出しの順番を主な根拠にしたと明らかにした。ブルームは声明で「正確な攻撃経路を特定した」としたが、問題のモジュールがどの業者のものかは公表していない。

何カ月も使われていなかったウォレットも被害

ビットクエリによると、被害ウォレット48個のうち24個は事件前の30日間にブルームの取引手数料を一度も支払っておらず、5個は2025年上半期以降ブルームでの取引記録がなかった。最近使われていなかったウォレットも一緒に空になったことになる。

ブルームは、テレグラムボット、ウェブ管理画面、他の取引画面に組み込んで使うブラウザ拡張機能で構成された取引ツールだ。公式サイトによると、ソラナやBNBチェーン、ベース、イーサリアムなどに対応し、他人の売買をまねるコピートレードや、複数ウォレットでの同時注文といった機能を提供している。ブルームは声明で「2018年からソフトウェアを開発し、2021年から暗号資産分野で事業を行ってきた」とし、サービスを続ける姿勢は変わらないと明らかにした。

アップビットのSOLは13万3500ウォン

引き出しがあった26日午前10時ごろ、SOLはバイナンスで101ドル前後で取引されていた。27日午後8時30分時点では、バイナンスで100.13ドル、アップビットのウォン建て市場で13万3500ウォン、ビッサムで13万3600ウォンで取引された。アップビットの価格は、バイナンスの価格をウォンに換算した値より約0.6%高かった。これはキムチプレミアム（韓国の取引所価格と海外価格の差）と呼ばれる。ブルームの件は利用者のウォレットで起きたもので、ソラナのネットワーク自体の障害ではない。