BloomTrading 交易机器人遭第三方 RCE 漏洞攻击：49 个钱包被盗 9,408 SOL，平台承诺 100% 全额赔偿

Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。

顶格判断：这不是一起「私钥被窃」的普通盗币案，而是一起第三方供应链 RCE（远程代码执行）漏洞导致的自动化交易平台安全事件——Telegram 系交易机器人 BloomTrading 于 2026 年 10 月 26 日被盗 9,408 枚 SOL（约 94.7 万美元），涉及 9 名用户控制的 49 个钱包地址，平台已承诺 100% 全额赔偿。对依赖第三方组件、接入自动化交易的机构与用户，这起事件把「私钥安全之外」的授权与供应链风险重新摆上了桌面。

• 交易机器人与自动化平台用户：私钥没泄露、资金照样被盗，说明「委托授权/API 权限」本身也是攻击面，断开连接≠绝对安全。
• 接入第三方组件的机构/项目方：RCE 漏洞出在第三方软件模块，供应链依赖与权限最小化是必须重新审计的环节。
• 托管与合规团队：平台「全额赔偿」是市场信任的兜底，但并无强制约束，责任边界要看用户协议与司法辖区的认定。
• 机构投资人与家办：把资金或交易委托给自动化平台前，应把「第三方依赖、应急响应、赔付能力」纳入尽调硬指标。

对你意味着什么

交易机器人与自动化平台用户

Bloom 官方确认攻击向量是第三方软件模块的远程代码执行（RCE）漏洞，并强调「私钥未被泄露、未受影响钱包安全」。这恰恰是本次事件最反直觉的地方：私钥没丢，钱却没了。RCE 允许攻击者在被攻破的软件环境里执行指令，即便不直接提取私钥，也可能操纵已授权的交易/转账能力。所以「断开 dApp 连接」并不能完全杜绝风险——用户应把资产转移到全新钱包，并对已授权给自动化工具的权限做一次彻底撤销与审计。

接入第三方组件的机构与项目方

Bloom 至今未披露是哪家第三方服务商、漏洞如何被利用来发起未授权转账。这种信息真空本身就是合规信号：任何依赖第三方软件模块（钱包 SDK、RPC、自动化执行层）的产品，都需要建立第三方组件清单、漏洞扫描与最小权限机制。一旦第三方被攻破，责任如何切割、事件如何定级、用户如何通知，都应在事故发生前写好预案，而不是事后临时起意。

托管与合规团队

Bloom 的表态相当干脆：「将 100% 全额赔偿，直接汇入用户指定的新安全钱包，无需设立救助基金。」这比多数平台用「用户协议免责」推责要强，但也要清醒：全额赔偿是平台自愿承诺，并非法定义务，也没有披露赔付时间表。合规视角下，用户真正能仰仗的是平台所在地的监管框架与自身协议条款——跨境、无牌、Telegram 原生平台在这方面的可追索性天然偏弱。

机构投资人与家办

把资金或交易交给一个 2021 年才进入加密市场、依托 Telegram 的自动化机器人，尽调时不能只看收益与费率。这起事件给出了三个可量化的检查项：是否做过第三方依赖安全审计、是否有明确的应急响应与暂停机制、赔付能力与历史赔付记录是否可信。

关键事实

BloomTrading 是一个支持 Solana 与 EVM 网络的 Telegram 系加密交易机器人。2026 年 10 月 26 日，链上监测账号 Onchain Lens 标记可疑转账，指出一个疑似收款地址已接收来自 49 名受害者的 9,408 枚 SOL（约 95.4 万美元），单笔最大损失 1,636 枚 SOL（约 16.6 万美元），最终损失可能更高；Onchain Alert 则指出攻击者将赃款归集进疑似 drainer 钱包。Bloom 随后调查确认受影响范围为 9 名用户控制的 49 个钱包地址，损失约 9,408 枚 SOL（约 94.7 万美元），并将攻击归因于第三方软件模块的 RCE 漏洞，同时排除私钥泄露。平台已暂停全部系统作为预防措施，承诺 100% 全额赔偿至用户指定的新安全钱包，并正追踪赃款、探索冻结与追回、识别攻击者；未披露第三方供应商身份、赔付时间表与恢复时间。受害交易者之一「Domy」称其 3 个钱包被盗约 800 SOL，并公开地址求助联系各交易所协助追踪。

真正的信号是什么

真正的信号是：加密安全的攻击面正在从「私钥保管」扩展到「自动化与第三方供应链」。当交易机器人、自动化执行层、AI 辅助工具大规模接管用户资金与授权，RCE、依赖注入这类传统软件安全漏洞就成了新的盗币入口。Bloom 事件留下的最尖锐问题不是「赔不赔」，而是「私钥没丢，第三方软件如何获得了转移近百万美元资金的权限」——这个技术黑箱一天不揭开，同类产品的信任基础就一天不稳。对行业而言，这是一次「自动化工具的托管与授权安全」必须被制度化的警钟。

接下来盯什么

• Bloom 是否披露第三方供应商与漏洞细节：这是判断事件责任归属与同类产品是否需要集体补丁的关键。
• 赔付是否实际到账、有无时间表：承诺与执行之间，才是平台可信度的真实刻度。
• 赃款追踪与冻结结果：RCE 型盗币的链上追回难度更高，最终追回比例影响行业对此类事件的风险定价。
• 监管对「自动化交易工具」的态度：若类似事件频发，Telegram 系交易机器人可能成为下一轮监管关注与合规门槛的对象。

本文仅供信息参考，不构成法律、投资或财务建议；具体申请与合规安排以最新法规及监管机构官方口径为准。转载请注明来源。

---

初版日期：2026-10-27 | 最后更新：2026-10-27

本文基于 Crypto.news、Bitcoin.com News 及 Bloom 官方声明（X）等信源撰写。