Bloomトレーディングボットから9,408 Solana (SOL)(約94万7,000ドル相当)が不正流出

49ウォレットから9,408 SOLが流出

Telegram上で動くAIトレーディングボット「Bloom Trading」に紐づくウォレットから、同社が10月26日(月曜日)と日付を特定したインシデントで、攻撃者により計9,408 Solana (SOL)が不正に引き抜された。当時のSolana(SOL)の価格をもとにしたBloom自身の会計では、被害総額は約94万7,000ドル。一方、ブロックチェーンデータから早期に算出された推計は約95万4,000ドルに達しており、差は小さいものの、社内レビューと初期のオンチェーン分析という二つの手法の違いが数字に表れている。窃取の輪郭そのものは記録が確定させている。移動と同時に、不審な送金をX上の監視活動が捉えており、オンチェーンの観測筋はX上で警戒を呼びかけた。初期集計より最終的な被害件数が上振れる可能性も指摘されていた。盗まれたコインは、トラッカーが「ドレイン用ウォレットの疑い」と形容する単一のアドレスにプールされ、単一の損失最大は1,636 SOL、約16万6,000ドル相当だった。初期の読みでは、攻撃者はSOL残高を狙い、一部のUSDC保有を手つかずのまま残しており、手作業で標的を選ぶ形ではなくスクリプトによる一括回収と整合するパターンだった。被害者数は検証の進展とともに変わった。当初のオンチェーン集計は49の被害者を別々に数えたが、Bloomの追加調査は、影響を受けた49のウォレットアドレスを合わせて管理していたユーザーは9人に絞られるとしている。ただし記録が解決しないのが、送金をどう承認したのかという点だ。ここは同社の開示を待つ部分であり、今回事案の核心に残されている。

Bloom、サービス停止と100%返金を約束

X上の一連の声明で示されたBloomの対応は、露出した部分と安全に保たれた部分を明確に分けている。公表内容によれば、秘密鍵は一切漏洩しておらず、影響を受けなかったウォレットは安全なまま維持され、被害を受けた全ユーザーに全額の補償が行われる。チームの声明は、X上で盗まれた資金の100%を返金すると明言しており、返金先は各被害ユーザーが自ら指定するウォレットへ直接支払われる。調査によれば、侵入の起点はサードパーティーのソフトウェアモジュールに関わる高度なリモートコード実行(RCE)の脆弱性だった。RCEとは、攻撃者がユーザーの鍵を持ち出さないまま、感染した環境内でコマンドを実行できる種類のバグを指す。この区別は実際に重い。RCE経路なら、鍵がその場所に残ったまま不正送金が起こり得るため、同社は鍵の安全性と消失したコインを二つの別個の問題として扱っている。送金を承認した具体的な仕組みについては、まだ開示がない。運用面では、対応ネットワーク上のスポット取引に使われる同プラットフォームが、予防的なセキュリティ措置として全Bloomシステムをオフラインにした。サービスはチームが安全な復旧を完了するまで停止が続き、再開後はユーザーがBloom ManagerとChrome拡張機能で再認証してから通常利用に戻る。完了の通知は公式チャンネルを通じて出される。同社は盗まれたコインの追跡、凍結および回収の選択肢の検討、攻撃者の特定を進めており、2018年からのソフトウェア開発と2021年からの暗号資産市場での運用実績を自社の根拠として挙げた。被害ユーザーには、残存資産を新たに生成したウォレットへ移し替えるよう勧告されており、2026年の優良Solanaウォレット11選の比較はまさにこの移行を念頭に組まれたものだ。ただし、補償の期限も、サービス復旧の日付も、同社はまだ示していない。

検証が残す未解決の問い

今回事案はアプリケーション層の失敗であり、Solana (SOL)ネットワーク自体の欠陥ではない。オンチェーン記録はすでに規模を確定させている。49ウォレットからの9,408 SOLだ。検証がまだ確定させていないのは承認経路である。Bloomがその仕組みを公表するまで、「影響を受けなかったウォレットは安全」という保証は、開示された証拠ではなく同社の声明に依拠したものにとどまる。一件は、アルトコイン取引用のインターフェースを通じた資産管理が、まさに今回破られたソフトウェア層にリスクを集中させることも改めて示した。ユーザーにとっての実用的な分水嶺は、ボットが預かる鍵と所有者だけが管理する鍵の間にあり、ボット管理アカウントとハードウェアウォレットのトレードオフに他ならない。文脈ももう一層加わる。Solanaの採用指標は記録更新が続いており、トークン化株式の保有者が過去最高の150万人に達した一方で、直近の資金流動ではSolana ETFから1,730万ドルが流出した。今回が突きつけた信頼の問いは、こうした数字とは別の場所にある。取引と取引の合間にユーザー資金を預かり続ける、小さなトレーディングツールの中だ。