דיווח: משתמשי בוט המסחר Bloom Trading איבדו קרוב למיליון דולר

ארנקים רוקנו ב־Bloom Trading: שאלת הגישה לכסף נותרה פתוחה

לפי Crypto Briefing, משתמשים בבוט המסחר Bloom Trading איבדו נכסים בשווי הקרוב למיליון דולר בעקבות ריקון ארנקים. הדיווח מפנה את תשומת הלב לסיכון שבשימוש בשירותי מסחר המחזיקים עבור לקוחותיהם נכסים או אמצעי גישה אליהם: הנוחות שבביצוע פעולות אוטומטיות תלויה גם באבטחת השירות שמבצע אותן.

בוט מסחר הוא תוכנה המבצעת פעולות לפי הוראות או כללים שהוגדרו עבורה. השם הזה לבדו אינו מלמד מי מחזיק במפתחות לארנק, אילו פעולות התוכנה רשאית לבצע, או האם נדרש אישור נפרד לכל העברה. אלה הבדלים מהותיים: כדי להבין אירוע של ריקון ארנקים, צריך לברר לא רק איזו תוכנה שימשה למסחר, אלא גם כיצד קיבלה גישה לכסף.

לפי ההודעה הרשמית של Bloom ברשת X מ־26 באוקטובר, נגנבו כ־9,408 מטבעות SOL, המטבע של רשת סולאנה (כ־947 אלף דולר), מ־49 כתובות ארנק השייכות לתשעה משתמשים. מספר הארנקים אינו מספר הנפגעים: לפי אותה הודעה, נפגעו תשעה משתמשים.

הטענה לחולשה חיצונית אינה תיאור מלא של התקיפה

באותה הודעה כתבה Bloom שהתוקף ניצל חולשת הרצת קוד מרחוק (RCE) ברכיב של צד שלישי, שמפתחות פרטיים לא נחשפו, ושהיא תחזיר 100% מהכספים שנגנבו לארנקים שיקבעו הנפגעים. אלה ממצאי החקירה של החברה עצמה, לא בדיקה חיצונית, וההודעה אינה מציינת מועד להחזר.

מפתח פרטי הוא אמצעי קריפטוגרפי המאפשר לאשר פעולות בנכסים. אולם שמירה על סודיות המפתח אינה השאלה היחידה באבטחת שירות מסחר. באופן עקרוני, גם תוכנה שמורשית לבקש או לבצע פעולות יכולה להיות נקודת תורפה. אין בכך קביעה שזה היה מסלול התקיפה ב־Bloom Trading; זו הסיבה שהטענה כי המפתחות לא נגנבו אינה מספיקה לבדה להסבר האירוע.

חסרים פרטים שיכריעו בין האפשרויות: מהו הרכיב החיצוני המדובר, איזו הרשאה נוצלה, וכיצד התאפשרה העברת הנכסים. בלי המידע הזה, אין בסיס לקבוע שהחלפת סיסמה, ביטול הרשאה מסוימת או יצירת ארנק חדש הם פתרון מספק. גם לא ניתן לקבוע מהדיווחים אם החשיפה הוגבלה לארנקים שנפגעו או אם קיימת חשיפה נוספת.

הבטחת פיצוי עוסקת בתוצאה הכספית, ואילו תיקון החולשה עוסק באפשרות למנוע פגיעה נוספת. אלה שני עניינים נפרדים. ההבטחה המיוחסת לחברה אינה מפרטת בדיווחים מועד לתשלום או דרך לביצועו, ואינה מחליפה הסבר על סגירת נתיב התקיפה.

תלות בתוכנה חיצונית — גם מחוץ למסחר

בדיווח נפרד של Decrypt, שאינו עוסק ב־Bloom Trading, חברת ההזנק Cathedral טוענת שסוכני הבינה המלאכותית שלה מצאו בתוך פחות מ־12 שעות נתיבי גישה לתשתיות המכירות, משאבי האנוש וטכנולוגיית המידע של Anthropic באמצעות תוכנות צד שלישי. לפי Decrypt, Cathedral נוסדה בידי עובדים לשעבר ב־DOGE, גוף ההתייעלות הממשלתית האמריקאי.

זו טענה של החברה, ואין בדיווח ראיה לקשר בין שני האירועים. מציאת נתיב גישה גם אינה שקולה לגניבת כספים. ההקשר המשותף המצומצם הוא הצורך לבחון רכיבי תוכנה חיצוניים כחלק מאבטחת השירות כולו, בלי להניח שהמנגנון או הנזק זהים.

למשתמשי Bloom Trading, הצעד הזהיר הנובע מהדיווח על ריקון ארנקים הוא להשהות הפקדות נוספות לשירות עד שיתבררו נתיב הגישה שנוצל והטיפול בו. לצורך חידוש השימוש, המידע המכריע יהיה פירוט של הרכיב שנפגע, היקף החשיפה והתיקון שבוצע. הודעה על החזר כספי, ככל שתתפרסם, לא תענה לבדה על שאלות האבטחה הללו.

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.

מקורות: Crypto Briefing · Bitcoin.com News · Decrypt