El hackeo de wallets Solana ha dejado 9.408 SOL fuera de entre 48 y 49 billeteras vinculadas a BloomTrading, un bot de trading que funciona dentro de Telegram. El valor de lo sustraído se estimó entre 950.000 y 954.000 dólares en el momento del vaciado, ocurrido este lunes 26 de octubre. La plataforma ha pausado parte de sus funciones y promete reembolsos en billeteras nuevas. La causa sigue sin explicación técnica pública.
BloomTrading se presenta como una herramienta de automatización de operaciones entre cadenas, disponible dentro de la interfaz de mensajería y compatible con Solana y con redes compatibles con EVM. La empresa afirma desarrollar software desde 2018. Su propuesta es cómoda: el usuario escribe en un chat y el bot ejecuta. Y ahí está el detalle que ahora importa. Según la descripción del propio servicio, es Bloom quien genera las claves privadas de las billeteras de sus clientes, el equivalente digital a la escritura de propiedad de los fondos.
El daño no se repartió por igual. La mayor parte de las pérdidas correspondió a SOL, aunque algunos reportes indican que ciertas tenencias de USDC en las billeteras afectadas quedaron intactas. Hay traders que declararon pérdidas de hasta 80.000 dólares. Esa asimetría —unos activos desaparecen y otros no— es una de las piezas que la investigación tendrá que explicar.
El qué: 9.408 SOL drenados y una cifra que aún no cuadra del todo
Los reportes del sector coinciden en el orden de magnitud, no en el detalle. Se habla de entre 48 y 49 billeteras, de 9.408 SOL y de un valor de entre 950.000 y 954.000 dólares. La horquilla no es un capricho: depende del precio exacto de SOL en la hora del vaciado y del momento en que se tome la referencia. Para el afectado, la diferencia entre 48 y 49 billeteras es irrelevante. Para la investigación, no lo es en absoluto: cada billetera es un rastro distinto.
La respuesta de la plataforma, según esas mismas publicaciones, ha sido pausar temporalmente algunas funciones, abrir una investigación sobre una posible compromisión de un tercero y ofrecer el reembolso de los fondos mediante el envío a billeteras nuevas y seguras. La compañía no ha detallado plazos ni el procedimiento que debe seguir cada usuario para recibirlos.
Una oferta de reembolso no es un reembolso: hasta que los fondos aparezcan en la billetera nueva, el afectado sigue teniendo una promesa.
Ahí está la primera trampa para el usuario: confundir el anuncio con la devolución. Mientras no exista una transferencia verificable en el explorador, la compensación es una intención. Y la causa raíz continúa abierta. Bloom no ha explicado qué sistema, cuenta o proveedor pudo haber intervenido. La referencia a un tercero comprometido es una hipótesis de trabajo, no una conclusión.
Por qué la custodia de llaves cambia por completo el riesgo
En una billetera de autocustodia, el usuario guarda su clave privada y nadie más puede mover el saldo sin ella. Es el mismo principio que la criptografía asimétrica que sostiene a toda la red: una mitad pública para recibir, otra privada para firmar. En un bot con custodia, esa llave la genera y la guarda el servicio. La comodidad es evidente, porque no hay que apuntar nada ni firmar a mano. El precio de esa comodidad es que el perímetro de seguridad deja de ser tu teléfono y pasa a ser el servidor, la base de datos y los accesos del proveedor.
Los vectores posibles son conocidos. Llaves almacenadas en servidores mal segmentados, accesos no autorizados a cuentas de Telegram o una firma maliciosa que el usuario aprueba sin leer lo que autoriza. Ninguna de esas hipótesis está confirmada en este caso concreto. Lo que sí está confirmado es el resultado: quien controla la llave puede mover el saldo sin pedir permiso.
Tres cosas que cualquier usuario de bots con custodia debería revisar hoy:
- Dónde vive la llave. Si el servicio la genera por ti, tu riesgo es el riesgo del proveedor.
- Qué permisos has firmado. En Solana, delegar tokens SPL a un programa ajeno permite moverlos posteriormente sin volver a solicitar tu firma.
- Qué parte de tu capital duerme ahí. Solo lo que estarías dispuesto a perder en una operación automatizada.
El patrón que Solana ya conoce: drainers, bots y promesas
Solana arrastra un problema endémico con los drainers, programas y kits de phishing diseñados para vaciar billeteras aprovechando firmas que el usuario concede sin entender qué autoriza. La red ha mejorado mucho en fees, en estabilidad y en diversidad de clientes validadores, pero la capa donde el usuario firma sigue siendo el eslabón blando de todo el ecosistema. Este caso añade una vuelta de tuerca incómoda: el afectado no firmó nada raro en una web dudosa. Delegó sus llaves en un servicio que le prometía automatización.
Conviene separar dos debates que suelen mezclarse. El primero es técnico: qué falló exactamente en Bloom. El segundo es estructural: si tiene sentido que un bot de Telegram, un canal diseñado para mensajes y no para bóvedas, tenga la capacidad de mover el patrimonio de miles de personas. Las paradas de red de septiembre de 2021 y febrero de 2022 —dos episodios en los que la cadena dejó de producir bloques durante horas— dejaron una lección aplicable aquí: la resiliencia no se mide por el mejor día de una red, sino por cómo responde cuando algo se rompe. De momento, la respuesta de Bloom es una pausa y una promesa.
La mayoría de los bots de este tipo genera sus propias llaves y las custodia en servidores propios, así que el debate no es menor. Tampoco es nuevo: cada ciclo de mercado deja una cosecha de servicios cómodos que concentran llaves, y cada incidente devuelve al usuario al mismo punto de partida, la autocustodia.
Lo que viene ahora es verificable y aburrido, que es justo lo que hace falta. Si Bloom publica la traza de las transferencias de reembolso, se podrá comprobar en el explorador Solscan. Si la investigación concluye con un tercero comprometido, habrá que ver si el vector fue un proveedor, una cuenta de Telegram o un endpoint con acceso a las llaves. Y si no hay explicación, el mercado hará lo de siempre: castigar la ausencia de respuestas con retiradas de fondos. Eso, y no el comunicado, será la verdadera señal.
