Bloom Trading Bot: 9.408 SOL abgezogen, worauf du jetzt achten solltest

Der Telegram-Handelsbot Bloom hat am 26. Oktober 2026 einen Abfluss von 9.408 SOL gemeldet. Betroffen sind nach Blooms eigener Auswertung neun Nutzer mit 49 Wallet-Adressen. Als Einstieg nennt der Anbieter eine Lücke zur Codeausführung aus der Ferne in einem Modul eines Drittanbieters, verspricht die vollständige Erstattung und hat alle Systeme vorsorglich abgeschaltet.

Für dich als Nutzer eines Handelsbots ist die wichtigste Angabe nicht die Summe, sondern die Bauweise dahinter: Bei Bloom erzeugt der Anbieter den privaten Schlüssel, nicht du. Genau das trennt eine Bot-Wallet von einer Wallet, über die du selbst verfügst, und genau daran entscheidet sich, wessen Problem ein solcher Vorfall am Ende ist.

Bloom-Abfluss: 9.408 SOL aus 49 Adressen von neun Nutzern

Die Menge ist in beiden ausgewerteten Berichten gleich: 9.408 SOL. Beim Gegenwert gehen die Angaben auseinander, weil sie zu unterschiedlichen Zeitpunkten gerechnet wurden. Bloom selbst beziffert den Schaden laut Bitcoin.com News auf rund 947.000 Dollar, eine erste Auswertung der Transaktionen kam auf etwa 954.000 Dollar. Es bleibt also eine Spanne von 947.000 bis 954.000 Dollar, und wer eine glatte Million daraus macht, rechnet ungenau.

Auch bei der Zahl der Geschädigten lohnt der genaue Blick. Die ersten Meldungen sprachen von 49 Opfern. Bloom hat das nachträglich eingeordnet: Es sind neun Nutzer, die zusammen 49 Adressen kontrollierten. Cryptobriefing nennt eine Spanne von 48 bis 49 betroffenen Adressen. Der größte einzelne Abfluss lag bei 1.636 SOL und damit bei etwa 166.000 Dollar, gemessen vom Beobachtungskonto Onchain Lens und zitiert bei news.bitcoin.com. Einzelne betroffene Händler berichteten von Verlusten bis zu 80.000 Dollar.

Ein Beobachtungsdienst namens Onchain Alert hält die Endsumme für möglicherweise höher, weil die Mittel in einer vermuteten Drainer-Wallet zusammengeführt wurden. Das ist eine Einschätzung, keine festgestellte Zahl, und sie steht hier als solche.

Codeausführung aus der Ferne: Bloom nennt ein Modul eines Drittanbieters

Bloom führt den Vorfall auf eine komplexe RCE-Lücke zurück. RCE steht für Remote Code Execution, also für eine Schwachstelle, durch die ein Angreifer eigenen Programmcode auf einem fremden Server ausführen kann. Wer diese Fähigkeit hat, handelt auf dem Server mit denselben Rechten wie die Software, die dort läuft.

Die Herkunft der Lücke ändert für Betroffene nichts

Dass die Schwachstelle in einem zugekauften Modul und nicht im eigenen Code lag, wirkt für die Geschädigten gleich. Ein Dienst führt technisch alles aus, was in seinem Namen läuft, einschließlich fremder Bibliotheken. Welche Zugangsstelle genau aufgebrochen wurde, hat Bloom bis zum Stand dieser Auswertung nicht offengelegt. Cryptobriefing hält ausdrücklich fest, dass eine Ursache bislang nicht bestätigt ist und dass betroffene Nutzer die Schwachstelle im Dienst selbst vermuten, ohne dass das überprüft wäre.

Custodial Wallet: Bei Telegram-Handelsbots erzeugt der Anbieter den Schlüssel

Hier liegt der Teil der Geschichte, der über diesen einen Vorfall hinausreicht. Ein Telegram-Handelsbot soll schnell sein. Schnell wird er dadurch, dass er Aufträge ohne Rückfrage unterschreiben kann, und unterschreiben kann er nur, wenn der private Schlüssel dort erreichbar ist, wo der Bot läuft. Cryptobriefing beschreibt Bloom deshalb als Dienst, der die privaten Schlüssel seiner Nutzer selbst erzeugt, und benennt die bekannten Risiken dieser Bauweise: Schlüssel, die serverseitig vorliegen, und übernommene Telegram-Konten.

Eine Custodial Wallet ist eine Wallet, bei der ein Dritter den Schlüssel hält und für dich verfügt. Das ist bei einer Börse so und bei einem Handelsbot ebenfalls. Du hast dann eine Forderung gegen den Anbieter, keinen unmittelbaren Zugriff auf die Coins. Welche Bot-Anbieter wie verwahren und was sie kosten, stellt die Übersicht der Krypto-Trading-Bots nebeneinander.

Keine privaten Schlüssel abgeflossen: die offene Stelle in der Darstellung

Laut dem Bericht von news.bitcoin.com vom 26. Oktober 2026 erklärte Bloom auf X, es seien keine privaten Schlüssel abgeflossen, nicht betroffene Wallets seien sicher und alle Geschädigten würden vollständig erstattet.

Damit bleibt eine Frage offen, und sie stellt der Bericht selbst: Wenn kein Schlüssel abgeflossen ist, wie kam der Angreifer dann zu der Befugnis, die Mittel zu bewegen? Eine Überweisung auf der Solana-Blockchain wird nur ausgeführt, wenn sie gültig unterschrieben ist. Beide Aussagen lassen sich zusammenbringen, wenn der Schlüssel den Server nie verlassen hat, dort aber für den Angreifer benutzbar war. Bloom hat das bis zum Stand dieser Auswertung nicht aufgelöst, und ohne Offenlegung bleibt es bei dieser Lücke in der Darstellung. Was tatsächlich geschehen ist, lässt sich daraus nicht ableiten.

Für dich hat das eine nüchterne Folge. Die Zusicherung, dass nicht betroffene Wallets sicher seien, beruht auf derselben Untersuchung, die die Ursache noch nicht benennen konnte. Das ist eine Zusage des Anbieters, kein geprüfter Befund.

SOL floss ab, USDC blieb liegen

Der Angreifer hat nicht alles mitgenommen, was in den Adressen lag. Nach den ersten Auswertungen, die Cryptobriefing zusammenfasst, zielte der Abfluss fast vollständig auf SOL, während USDC-Bestände in denselben Wallets unangetastet blieben.

Diese Auswahl ist aufschlussreich. Wer unter Zeitdruck arbeitet, nimmt den Vermögenswert, der sich am schnellsten und mit der geringsten Reibung weiterbewegen lässt. Ein Stablecoin eines benannten Emittenten kann auf Antrag eingefroren werden, SOL nicht. Dass die Stablecoin-Bestände liegen blieben, deutet also auf eine bewusste Entscheidung des Angreifers hin und nicht auf Nachlässigkeit.

Erstattung zu 100 Prozent: Bloom hat keine Frist genannt

Bloom hat zugesagt, den gesamten Schaden zu tragen, und zwar auf Wallets, die die Betroffenen selbst benennen. Eine Frist dafür steht nicht im Raum. news.bitcoin.com hält fest, dass kein Termin für die Erstattung gesetzt wurde, und auch kein Zeitpunkt, zu dem die Dienste zurückkommen.

Parallel verfolgt der Anbieter die Mittel, prüft Möglichkeiten zum Einfrieren und zur Rückholung und versucht, den Angreifer zu bestimmen. Solche Ankündigungen sind bei Vorfällen dieser Größe üblich. Belastbar ist an der Zusage bis auf Weiteres allein, dass sie gegeben wurde.

MiCA und Verwahrung: Was für fremde Schlüssel in Deutschland gilt

Wer in der Europäischen Union Kryptowerte für andere verwahrt und verwaltet, erbringt damit eine Kryptowerte-Dienstleistung im Sinne der MiCA-Verordnung und braucht dafür eine Zulassung. Zuständig ist in Deutschland die BaFin, und die zugelassenen Anbieter stehen in einem öffentlichen Register, das die europäische Wertpapieraufsicht ESMA führt. Ob ein Dienst, den du nutzt, dort eingetragen ist, kannst du selbst nachsehen; dieser Artikel trifft darüber keine Feststellung.

Wichtig ist der zweite Teil: Eine Zulassung ist keine Einlagensicherung. Die 100.000 Euro, die bei einer Bank je Kunde geschützt sind, gelten für Kryptowerte nicht, auch nicht bei einem zugelassenen Verwahrer. Eine Erstattungszusage wie die von Bloom ist deshalb eine freiwillige Leistung des Unternehmens und kein Anspruch aus einem Sicherungssystem.

Welche Fragen vor der Freischaltung eines Bots zählen

Drei Punkte klären sich vor der ersten Einzahlung, nicht danach: Wer erzeugt den Schlüssel, wo liegt er, und welche Summe ist zu jedem Zeitpunkt für den Bot erreichbar. Beim dritten Punkt hast du die Hand selbst am Hebel, unabhängig davon, was ein Anbieter zusichert.

Self-Custody statt Bot-Wallet: der Unterschied bei der Schlüsselhoheit

Self-Custody heißt, dass der private Schlüssel nur bei dir liegt und keine Software eines Dritten ihn benutzen kann. Eine Hardware-Wallet setzt das durch, indem sie den Schlüssel in einem Chip hält, der ihn nie herausgibt; unterschrieben wird auf dem Gerät, nach Bestätigung auf dem Gerät. Welche Modelle das wie umsetzen und was sie kosten, steht in den Hardware-Wallets im Hub-Vergleich.

Diese Bauweise ist langsamer als ein Bot, und das ist ihr Zweck. Ein Bot, der ohne Bestätigung unterschreibt, kann im Sekundenbereich kaufen und verkaufen; derselbe Mechanismus arbeitet aber auch für jeden, der sich Zugang zur ausführenden Umgebung verschafft. Die Entscheidung läuft damit auf eine Abwägung zwischen Geschwindigkeit und Hoheit über den Schlüssel hinaus, und sie muss nicht für dein gesamtes Guthaben gleich ausfallen.

Üblich ist eine Zweiteilung. Auf der Handels-Wallet liegt der Betrag, den der Bot bewegen soll, und sonst nichts. Der Rest liegt auf einer Wallet, zu der keine Software eines Anbieters Zugang hat. Im Fall von Bloom hätte diese Trennung den Abfluss nicht verhindert, aber sie hätte den Betrag begrenzt, der überhaupt erreichbar war. Das ist der Teil des Risikos, über den der Nutzer allein verfügt.

Bloom Manager und Chrome-Erweiterung: Neuanmeldung nach dem Neustart

Für die Zeit nach dem Wiederanlauf hat Bloom eine Ansage gemacht, die jeden Nutzer betrifft, auch wenn er nicht betroffen war. Sobald die Dienste zurück sind, müssen sich alle Nutzer erneut im Bloom Manager und in der Chrome-Erweiterung anmelden. Betroffene sollen den Support kontaktieren und verbleibende Werte auf neu erzeugte Wallets umziehen; so gibt news.bitcoin.com die Anweisungen des Anbieters wieder.

Diese Phase ist der Moment, in dem Phishing erfahrungsgemäß anläuft. Eine Aufforderung zur Neuanmeldung ist für Angreifer eine Vorlage, weil sie echt ist. Jede Nachricht, die dich zu einer Anmeldung oder zur Eingabe einer Wiederherstellungsphrase drängt, behandelst du deshalb als Betrugsversuch, bis du die Adresse unabhängig geprüft hast. Nach dem Abfluss von Lieferadressen bei einem Wallet-Hersteller im Oktober lief dieselbe Masche bereits an.

Bloom-Abfluss: Ohne eigene Schlüssel bleibt nur die Erstattungszusage

Drei Schritte ergeben sich aus diesem Vorfall, und sie gelten unabhängig davon, ob du Bloom nutzt:

1. Guthaben auf Bot-Wallets begrenzen. Lass nur den Betrag erreichbar, den der Bot in den nächsten Tagen bewegen soll. Welcher Anbieter wie verwahrt, zeigt die Gegenüberstellung der Trading-Bots.
2. Den Rest unter eigene Schlüsselhoheit nehmen. Ein Gerät, das den Schlüssel nicht herausgibt, schließt den Weg aus, der hier offengeblieben ist. Die Modelle und ihre Kosten stehen im Hardware-Wallet-Vergleich.
3. Den Handelsplatz nach der Verwahrung auswählen. Wer ohne Bot handelt, braucht einen Anbieter mit nachvollziehbarer Verwahrung und Zulassung; die Kandidaten stehen unter den regulierten Kryptobörsen.

(Stand: 27. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)