דיווח: משתמשי בוט המסחר Bloom Trading איבדו קרוב למיליון דולר

ארנקים רוקנו ב־Bloom Trading: שאלת הגישה לכסף נותרה פתוחה

לפי Crypto Briefing, משתמשים בבוט המסחר Bloom Trading איבדו נכסים בשווי הקרוב למיליון דולר בעקבות ריקון ארנקים. הדיווח מפנה את תשומת הלב לסיכון שבשימוש בשירותי מסחר המחזיקים עבור לקוחותיהם נכסים או אמצעי גישה אליהם: הנוחות שבביצוע פעולות אוטומטיות תלויה גם באבטחת השירות שמבצע אותן.

בוט מסחר הוא תוכנה המבצעת פעולות לפי הוראות או כללים שהוגדרו עבורה. השם הזה לבדו אינו מלמד מי מחזיק במפתחות לארנק, אילו פעולות התוכנה רשאית לבצע, או האם נדרש אישור נפרד לכל העברה. אלה הבדלים מהותיים: כדי להבין אירוע של ריקון ארנקים, צריך לברר לא רק איזו תוכנה שימשה למסחר, אלא גם כיצד קיבלה גישה לכסף.

ב־Bitcoin.com News מופיעות טענות מפורטות יותר: הוצאה של 9,408 מטבעות SOL, המטבע של רשת סולאנה, מתוך 49 ארנקים השייכים לתשעה משתמשים. מספרים אלה אינם מאומתים כאן באופן עצמאי, ויש להתייחס אליהם כאל טענות הטעונות אישוש. גם אם יאושרו, מספר הארנקים אינו מספר הנפגעים: אדם אחד יכול להשתמש בכמה ארנקים, ולכן אין להסיק ממנו לבדו את היקף הפגיעה בלקוחות.

הטענה לחולשה חיצונית אינה תיאור מלא של התקיפה

לפי הטענות שפורסמו ב־Bitcoin.com News, התוקף ניצל חולשה בתוכנה של צד שלישי. באותו פרסום מיוחסת לחברה עמדה שלפיה מפתחות פרטיים לא נגנבו, וכן הבטחה להשיב לנפגעים את מלוא כספם. אין לראות בטענות הללו ממצאים טכניים מאומתים או אישור לכך שההחזרים כבר בוצעו.

מפתח פרטי הוא אמצעי קריפטוגרפי המאפשר לאשר פעולות בנכסים. אולם שמירה על סודיות המפתח אינה השאלה היחידה באבטחת שירות מסחר. באופן עקרוני, גם תוכנה שמורשית לבקש או לבצע פעולות יכולה להיות נקודת תורפה. אין בכך קביעה שזה היה מסלול התקיפה ב־Bloom Trading; זו הסיבה שהטענה כי המפתחות לא נגנבו אינה מספיקה לבדה להסבר האירוע.

חסרים פרטים שיכריעו בין האפשרויות: מהו הרכיב החיצוני המדובר, איזו הרשאה נוצלה, וכיצד התאפשרה העברת הנכסים. בלי המידע הזה, אין בסיס לקבוע שהחלפת סיסמה, ביטול הרשאה מסוימת או יצירת ארנק חדש הם פתרון מספק. גם לא ניתן לקבוע מהדיווחים אם החשיפה הוגבלה לארנקים שנפגעו או אם קיימת חשיפה נוספת.

הבטחת פיצוי עוסקת בתוצאה הכספית, ואילו תיקון החולשה עוסק באפשרות למנוע פגיעה נוספת. אלה שני עניינים נפרדים. ההבטחה המיוחסת לחברה אינה מפרטת בדיווחים מועד לתשלום או דרך לביצועו, ואינה מחליפה הסבר על סגירת נתיב התקיפה.

תלות בתוכנה חיצונית — גם מחוץ למסחר

בדיווח נפרד של Decrypt, שאינו עוסק ב־Bloom Trading, חברת ההזנק Cathedral טוענת שסוכני הבינה המלאכותית שלה מצאו בתוך פחות מ־12 שעות נתיבי גישה לתשתיות המכירות, משאבי האנוש וטכנולוגיית המידע של Anthropic באמצעות תוכנות צד שלישי. לפי Decrypt, Cathedral נוסדה בידי עובדים לשעבר ב־DOGE, גוף ההתייעלות הממשלתית האמריקאי.

זו טענה של החברה, ואין בדיווח ראיה לקשר בין שני האירועים. מציאת נתיב גישה גם אינה שקולה לגניבת כספים. ההקשר המשותף המצומצם הוא הצורך לבחון רכיבי תוכנה חיצוניים כחלק מאבטחת השירות כולו, בלי להניח שהמנגנון או הנזק זהים.

למשתמשי Bloom Trading, הצעד הזהיר הנובע מהדיווח על ריקון ארנקים הוא להשהות הפקדות נוספות לשירות עד שיתבררו נתיב הגישה שנוצל והטיפול בו. לצורך חידוש השימוש, המידע המכריע יהיה פירוט של הרכיב שנפגע, היקף החשיפה והתיקון שבוצע. הודעה על החזר כספי, ככל שתתפרסם, לא תענה לבדה על שאלות האבטחה הללו.

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.

מקורות: Crypto Briefing · Bitcoin.com News · Decrypt