TelegramボットBloomTradingでウォレット流出、約49ウォレットから9,408資産が奪われる

BloomTrading、ウォレット流出でサービス停止

2026年10月26日(月)、クロスチェーンのAIトレーディングボットを運営するBloomTradingに連なるホットウォレットから残高が消失した。同社は現時点で流入経路を特定できていない。BloomTradingはTelegram上で動くサービスとして、SolanaとEVM系ネットワークにまたがるスポット取引を自動化しており、今回の異常はユーザーのために同社が生成・保管する秘密鍵にまで及んだ。同社は自社をカストディアンなしで運用できる横断的な自動化基盤と位置づけており、その理念はアトミックスワップ設計が目指すものと重なる。だが実際には、ボット自身が鍵を握っていた。侵入手法は未確定で、第三者ベンダーの侵害があったかどうかも含め調査中だと会社側は説明する。一方、オンチェーンの記録が確定させたのは被害の規模だ。流出先と疑われるアドレスの監視では、約49の被害ウォレットから合計でおよそ9,408 SOL(約95万4,000ドル)が集められており、単独の最大流出は約1,636 SOL(約16万6,000ドル)に達する。オンチェーン追跡を行うOnchain Lensは、最終的な総額はさらに膨らむ可能性があると警戒し、セッションの切断と残存資金の退避をユーザーに呼びかけている。BloomTradingは同日中に応じた。X上の公式アカウントは公開返信で、その他のウォレットは安全だと述べ、予防措置としてサービスの一部を停止し、Discordでサポートチケットの発行を求めた。その後の追加発表で、影響を受けたユーザー9人を特定済みとし、確認された損失は全額を、各ユーザーが指定する新しい安全なウォレットに直接送金して弁済する方針を示した。同社は支援基金を設けず、返済資金は自社が負担するとも明言し、持ち逃げスキャムとの見方を明確に否定した。執筆時点で確認済みの被害者は9人であり、チームは寄せられた全てのウォレット活動報告を精査している。

被害者は9人、ウォレットは49

調査が始まったばかりの時間帯に、ソーシャルメディア上ではユーザーからの指摘が広がった。@domyxbtというハンドルで投稿したユーザーは8万ドルの損失を訴え、取引所への連絡を求めて助けを乞うた。その投稿は、7kY8qxで始まるアドレスへの約640.45 SOL(約6万4,000ドル)の単一送金と被害を結びつけていた。このユーザーは後の投稿で、失われた資金の約95%はBloomに遡ると主張した。根拠は、他のホットウォレットが無傷だったことと、類似のボットを使っていなかったことだ。BloomTradingの公式見解は持ち逃げ説に反論する形だ。同社は2018年からソフトウェア開発を続けており、金銭のために信頼を売ることはないとしている。返済も支援基金ではなく自社資金で賄うという。構造的な問題は、このボットが採るカストディ型モデルにある。同種の製品は利便性と引き換えにユーザーの秘密鍵を生成または保管するのが通例で、単一障害点を抱え込む。ベンダーか社内工程のどちらかが破綻すれば、プラットフォームが作った全ホットウォレットが一斉に露呈する。記録された損失はほぼSOLに集中し、一部のUSDC残高は手つかずのまま残っていた。ユーザーには引き続き、ボットへの有効な接続を取り消し、自己管理できる保管へ残高を移すことが勧められている。BloomTradingは点検の間、サービスの一部を停止したまま保持しており、Discordのチケットが被害を申告できる唯一の公式窓口だ。未解決の問いは、会社自身が列挙した通り、根本原因、影響ウォレットの全体規模、そして約束された返済の履行の三点だ。根本原因に関する報告の日程は未公表である。

突きつけられた乖離は、9と49の差だ。BloomTradingの確定数がオンチェーン上の合計に追いつかないなら、返済額は膨らむ。両者の数字が「影響を受けたユーザー」の定義の違いに基づくなら、根本原因報告で突き合わせる必要がある。基金を介さず直接支払うという誓約は、最終的な数字がオンチェーンの検証に耐えて初めて成立する。この構図は単一のボットにとどまらず、ユーザーの鍵を生成・保管するアルトコイン系ボットサービス全体に及ぶ。Telegram上でその方式を採るサービスは、利便性が取り除くはずのリスクそのものを一点に集中させる。BloomTradingが根本原因を名指ししない限り、このカストディ設計のあらゆる稼働事例が、同じ未回答の問いを抱えたままでいる。