Hack do bot Bloom: 9.408 SOL em 94 segundos e 5 lições
2026-11-067 min de leitura
No hack do bot Bloom, em 26 de outubro de 2026, um atacante esvaziou 48 carteiras de nove usuários em 94 segundos e levou 9.408 SOL, cerca de US$ 947 mil. O Bloom reembolsou integralmente todos os afetados no mesmo dia, e nós mesmos conferimos as transações de reembolso on-chain. A seguir: o que aconteceu, o que o Bloom disse e cinco hábitos que limitam quanto um ataque desses pode tirar de você, seja qual for o bot que você usa.
Resumo rápido
- Em 26 de outubro de 2026, 9.408 SOL (cerca de US$ 947 mil) saíram das carteiras de 9 usuários do Bloom em 94 segundos: 48 carteiras pela contagem on-chain da Bitquery, 49 pela do Bloom.
- O Bloom culpou uma falha de execução remota de código em um módulo de terceiros e disse que nenhuma private key foi acessada.
- O Bloom reembolsou os 9.408 SOL no mesmo dia. Conferimos as transferências na Solana: os nove usuários receberam.
- Metade das carteiras drenadas não operava no Bloom havia um mês, e cinco estavam paradas desde o primeiro semestre de 2025. Dinheiro deixado numa carteira de bot continua em risco.
O que aconteceu no hack do bot Bloom
A Bitquery, empresa de análise on-chain, reconstruiu o ataque a partir da blockchain no mesmo dia. Todos os horários estão em UTC, no dia 26 de outubro de 2026.
| Horário (UTC) | O que aconteceu |
|---|---|
| 00:59 | Falham as primeiras tentativas contra a maior carteira |
| 01:00 | Começam pequenas transferências de teste, uma por usuário, para uma carteira criada naquele dia |
| 01:03:07 | A primeira carteira é esvaziada |
| 01:04:41 | A 48ª carteira é esvaziada: 94 segundos no total |
| 04:37 | O Bloom promete reembolsar integralmente os usuários afetados |
| 09:12 | Comunicado oficial; todos os sistemas do Bloom saem do ar |
| 15:32–20:33 | O Bloom envia os reembolsos para as novas carteiras dos usuários |
| 20:37 | Bloom: "All Refunds Successfully Processed" (todos os reembolsos processados com sucesso) |
Em todos os casos, o dinheiro saiu por uma transferência comum de SOL, assinada com a própria key da carteira: sem approve de token, sem smart contract, sem um segundo assinante. O script esvaziou as carteiras usuário por usuário, começando pelo maior saldo, e levou só SOL, deixando para trás cerca de US$ 56.853 em USDC.
| Números principais | |
|---|---|
| Usuários afetados | 9 |
| Carteiras drenadas | 48 (Bitquery) / 49 (Bloom) |
| SOL levados | 9.408, cerca de US$ 947 mil (número do Bloom) |
| Maior perda em uma única carteira | 1.636 SOL |
| Perda mediana por carteira | 89 SOL, cerca de US$ 9 mil |
| Parcela concentrada nas 6 maiores carteiras | 61% |
| Carteiras sem nenhum trade no Bloom nos 30 dias anteriores | 24 de 48 |
| Carteiras paradas desde o primeiro semestre de 2025 | 5 |
| Reembolso | 9.408 SOL para os 9 usuários, no mesmo dia |
Um dos donos chegou a salvar 48.550 USDC: a primeira tentativa do atacante de mover esse valor falhou porque a carteira não tinha SOL para pagar a taxa de rede, e o dono tirou o dinheiro de lá 96 segundos depois de o atacante enviar 0,02 SOL para cobrir a taxa.
O que o Bloom disse
- Causa: "O ataque explorou um módulo de terceiros por meio de uma complexa vulnerabilidade de execução remota de código (RCE)." O Bloom não revelou qual é o módulo.
- Chaves: "Nenhuma private key foi acessada ou comprometida", e as carteiras fora do grupo afetado estavam seguras.
- Alcance: 49 endereços de carteira de 9 usuários, cerca de 9.408 SOL (US$ 947 mil).
- Desligamento: todos os sistemas do Bloom saíram do ar por precaução. Quando voltarem, todos os usuários terão de fazer login de novo no Bloom Manager e na extensão do Chrome.
- O atacante: o Bloom disse ter coletado os endereços IP e os data centers usados e propôs negociar a devolução de parte dos fundos em troca de não entrar na Justiça.
Um ponto continua em aberto. A Bitquery constatou que todas as transferências do ataque foram assinadas com a própria key de cada carteira e diz que a blockchain não mostra como o atacante conseguiu esse poder de assinatura. O Bloom afirma que as keys em si não foram acessadas. Nenhum dos dois publicou o caminho técnico completo, então não vamos especular aqui.
O reembolso foi pago?
Sim. Às 20:37 UTC de 26 de outubro, o Bloom postou: "Confirmamos que 100% dos fundos afetados, num total de 9.408 SOL, foram integralmente reembolsados aos 9 usuários", com um link do Solscan para cada uma das nove transações de reembolso.
Nós conferimos on-chain. As nove foram concluídas em 26 de outubro, enviadas do endereço que o Bloom tinha divulgado como contato para o atacante. Cada usuário recebeu primeiro uma transferência de teste de 1 SOL e depois o restante: 9.408,23 SOL no total, menos de 20 horas depois do ataque.
5 lições para quem usa qualquer bot de trading
1. Dinheiro parado em carteira de bot continua em risco
Metade das carteiras drenadas (24 de 48) não tinha pago nenhuma taxa ao Bloom nos 30 dias anteriores ao ataque. Cinco tinham operado pelo Bloom pela última vez entre janeiro e maio de 2025. Os donos já tinham deixado essas carteiras de lado, mas elas ainda tinham SOL e o bot ainda guardava as keys. Quando parar de usar um bot, esvazie as carteiras dele. Não deixe dinheiro lá "para depois".
2. Deixe no bot só o dinheiro de trading
O atacante escolheu carteiras grandes: seis delas concentravam 61% do que foi levado, e a perda mediana por carteira foi de cerca de US$ 9 mil. Dimensione a carteira do bot para as operações que você pretende fazer nesta semana. Guarde as suas economias numa carteira cuja key nunca passou por um bot, de preferência uma hardware wallet. Outros hábitos do dia a dia estão nas nossas 10 regras para proteger sua carteira.
3. Saque com frequência fixa, não quando algo der errado
Ninguém reage em 94 segundos. Nessa hora, o único dinheiro seguro é o que já saiu. Saque o lucro para a sua própria carteira num ritmo fixo, por exemplo toda semana e depois de cada ganho grande. Antes de enviar, confira o endereço inteiro, não só os primeiros e os últimos caracteres: minutos depois dos primeiros reembolsos de teste do Bloom, endereços parecidos (com os mesmos primeiros e últimos caracteres dos verdadeiros) começaram a mandar transferências minúsculas para a carteira de reembolso do Bloom, na esperança de que alguém copiasse depois o endereço errado do histórico. Esse golpe se chama envenenamento de endereço (address poisoning).
4. Configurações do app não protegem a key
Uma trava de endereço de saque ou um PIN protegem os botões do próprio bot. Eles não impedem uma transferência assinada com a própria key, e foi exatamente isso que aconteceu em todas as transferências deste ataque. Espalhar o dinheiro por várias carteiras no mesmo bot também não adianta: um dos usuários tinha 12 carteiras, e o script esvaziou todas. O que limita o estrago é quanto dinheiro fica no bot, e manter a key da sua carteira principal fora de qualquer bot.
5. Confira o histórico de segurança do bot antes de depositar
Na nossa página de bots de copy trading, abra os detalhes de um bot: a nota de Segurança e as "Últimas atualizações" mostram os hacks confirmados, quanto foi perdido e se os usuários foram reembolsados, com a fonte. Você também pode digitar "hack" na caixa de busca. Na ficha do Bloom, agora aparece "Hack de $947K, reembolsado integralmente". Damos nota 9 de 10 em Segurança para um histórico limpo, 7 para um hack totalmente reembolsado, 6 quando o reembolso foi prometido, mas não confirmado, e 3 quando os usuários não receberam nada de volta.
Perguntas frequentes
O Bloom é seguro depois do hack?
Nenhum bot de trading é livre de risco, nem o Bloom. O Bloom diz que a falha estava em um módulo de terceiros e que nenhuma private key foi acessada, e reembolsou todos os afetados em menos de um dia. Se isso basta, é você quem decide. De qualquer forma, deixe só dinheiro de trading na carteira do bot. O nosso guia do Bloom mostra os recursos e as configurações de segurança dele.
O Bloom devolveu os SOL roubados?
Sim. O Bloom reembolsou 9.408 SOL aos nove usuários afetados em 26 de outubro de 2026 e publicou o link de cada transação no Solscan. Nós conferimos tudo on-chain.
O Bloom já voltou a funcionar?
O Bloom tirou todos os sistemas do ar em 26 de outubro e disse que os usuários teriam de fazer login de novo no Bloom Manager e na extensão do Chrome. Não encontramos nenhum post da @BloomTrading anunciando a volta, mas o changelog do Bloom traz atualizações em 29 de outubro e 2 de novembro, e o DefiLlama registra volume de trading do Bloom todos os dias desde então. Faça login só pelo bloombot.app, nunca por um link de "fazer login de novo" que alguém mandar para você.
Usei o Bloom meses atrás. Preciso fazer alguma coisa?
Sim, e o mesmo vale para qualquer bot que você deixou de usar. Abra as suas carteiras antigas de bots e, se alguma ainda tiver fundos, transfira tudo para uma carteira cuja key nunca foi usada com um bot. Metade das carteiras drenadas neste caso não operava no Bloom havia um mês.
O ponto principal
O hack do bot Bloom foi rápido e restrito: 94 segundos, nove usuários e pelo menos 650 SOL levados de cada um. O Bloom devolveu o dinheiro a todos em menos de um dia. A parte que depende de você é a mesma em qualquer bot: quanto dinheiro fica na carteira do bot, com que frequência você saca e se as carteiras antigas ainda têm saldo.
Antes de escolher um bot ou colocar mais dinheiro em um, compare histórico de segurança, taxas e copy trade de mais de 20 bots na nossa página de bots de copy trading.
Trade Fast. Trade Smart.
Fontes: posts do Bloom no X (comunicado, reembolsos), a investigação on-chain da Bitquery e a nossa própria verificação das nove transações de reembolso na Solana. Nada aqui é recomendação de investimento.