Bot otomasi Bloom kehilangan 9.408 SOL dari dompet pengguna, janji ganti rugi 100 persen

Peristiwanya terjadi pada 26 Oktober 2026 dan terdeteksi lebih dulu oleh pemantau rantai. BloomTrading, layanan otomasi trading lintas rantai berbasis Telegram yang mendukung Solana dan jaringan kompatibel EVM, kehilangan sekitar 9.408 SOL dari dompet penggunanya. Onchain Lens melaporkan transfer mencurigakan, lalu Onchain Alert menyebut penyerang mengonsolidasikan hasil curian ke satu dompet penampung. Angka awal yang beredar menyebut 48 sampai 49 dompet, sebelum Bloom menyelesaikan investigasinya sendiri.

Angkanya berbeda tipis antar sumber dan sebaiknya ditulis apa adanya. Investigasi Bloom menilai kerugian sekitar 947 ribu dolar, sedangkan pembacaan rantai awal mendekati 954 ribu dolar. Yang disepakati: 49 alamat dompet terdampak, semuanya dikendalikan sembilan pengguna, dengan kerugian per pengguna bisa mencapai 80 ribu dolar. Transfer terbesar mencapai 1.636 SOL atau sekitar 166 ribu dolar. Saldo USDC di dompet yang terdampak tidak ikut diambil, dan penyerang memarkir dana di dompet penampung sekitar tiga setengah jam sebelum dipindahkan lebih jauh.

Penyebabnya menurut Bloom adalah kerentanan remote code execution di sebuah modul pihak ketiga, artinya kode dari luar bisa berjalan di dalam bagian sistem bot tersebut. Bloom menyatakan kunci privat tidak diakses dan tidak bocor, tetapi perusahaan belum membeberkan mekanisme persis yang membuat transfer tidak sah bisa lolos. Perbedaan itu penting: kalau kunci tidak dicuri, maka ada jalur otorisasi di dalam sistem yang berhasil disalahgunakan, dan jalur itu belum dijelaskan. Sebagai langkah pengamanan, layanan dihentikan sementara, dan pengguna diminta login ulang ke Bloom Manager serta ekstensi Chrome setelah layanan pulih.

Soal uang pengguna, Bloom berjanji mengganti 100 persen dana yang dicuri, ditransfer langsung ke dompet aman baru yang ditunjuk pengguna. Perusahaan menyatakan sedang melacak dana, menjajaki opsi pembekuan dan pemulihan, serta berupaya mengidentifikasi pelaku. Yang belum ada sampai berita ini ditulis adalah tenggat penggantian dan tanggal layanan kembali normal. Pengguna diminta memindahkan sisa aset ke dompet dengan kunci privat yang baru dibuat.

Bagi yang memakai otomasi, kasus ini mengulang pelajaran lama dengan harga baru. Bot trading menyimpan kunci pengguna agar bisa menandatangani transaksi, sehingga ia berfungsi sebagai dompet panas yang tetap panas meski trading berhenti. Pertahanan yang masuk akal bukan sekadar audit kode, melainkan pemisahan dana per pengguna, plafon nilai per transaksi dan per hari, izin yang bisa dicabut seketika, serta kemampuan menghentikan penarikan tanpa campur tangan manusia. Tanpa itu, seluruh risiko rantai berpindah ke pengguna yang tidak pernah melihat kode modul pihak ketiga mana pun.