Bot de trading Bloom : 9 408 SOL siphonnés, ce qu’il faut surveiller

Le bot de trading Telegram Bloom a signalé le 26 octobre 2026 une sortie de 9 408 SOL. Selon la propre analyse de Bloom, neuf utilisateurs détenant 49 adresses de portefeuille sont concernés. Le prestataire désigne comme point d’entrée une faille d’exécution de code à distance dans un module tiers, promet un remboursement intégral et a mis tous ses systèmes à l’arrêt par précaution.

Pour vous, utilisateur d’un bot de trading, l’information décisive n’est pas le montant mais l’architecture qui le sous-tend : chez Bloom, c’est le prestataire qui génère la clé privée, pas vous. C’est précisément ce qui sépare un portefeuille de bot d’un portefeuille dont vous disposez vous-même, et c’est précisément ce qui détermine à qui appartient, en fin de compte, un incident de ce genre.

Sortie chez Bloom : 9 408 SOL depuis 49 adresses de neuf utilisateurs

La quantité est la même dans les deux rapports examinés : 9 408 SOL. Les montants en contre-valeur diffèrent, parce qu’ils ont été calculés à des moments distincts. Bloom chiffre lui-même le préjudice à environ 947 000 dollars, selon Bitcoin.com News, tandis qu’une première analyse des transactions aboutissait à quelque 954 000 dollars. Une fourchette de 947 000 à 954 000 dollars subsiste donc, et qui en fait un million tout rond calcule approximativement.

Le nombre de victimes mérite lui aussi un regard précis. Les premières informations parlaient de 49 victimes. Bloom a depuis replacé le chiffre : il s’agit de neuf utilisateurs qui contrôlaient ensemble 49 adresses. Cryptobriefing évoque une fourchette de 48 à 49 adresses touchées. La plus importante sortie individuelle s’élevait à 1 636 SOL, soit environ 166 000 dollars, mesurée par le compte de surveillance Onchain Lens et citée par news.bitcoin.com. Des opérateurs touchés ont fait état de pertes allant jusqu’à 80 000 dollars.

Un service de veille nommé Onchain Alert juge le total final possiblement plus élevé, les fonds ayant été regroupés dans un portefeuille présumé de siphonnage. Il s’agit d’une appréciation, non d’un chiffre établi, et elle figure ici comme telle.

Exécution de code à distance : Bloom désigne un module tiers

Bloom attribue l’incident à une faille RCE complexe. RCE signifie remote code execution, soit une vulnérabilité par laquelle un attaquant peut exécuter son propre code sur un serveur étranger. Qui dispose de cette capacité agit sur le serveur avec les mêmes droits que le logiciel qui y tourne.

L’origine de la faille ne change rien pour les victimes

Que la vulnérabilité se soit nichée dans un module acheté et non dans le code propre de Bloom est indifférent pour ceux qui ont perdu des fonds. Techniquement, un service exécute tout ce qui tourne en son nom, bibliothèques tierces comprises. Quel point d’accès a été exactement forcé, Bloom ne l’avait pas divulgué à la date de cette analyse. Cryptobriefing souligne expressément qu’aucune cause n’est confirmée à ce stade et que les utilisateurs touchés soupçonnent la vulnérabilité dans le service lui-même, sans que cela ait été vérifié.

Portefeuille sous garde : chez les bots Telegram, le prestataire génère la clé

C’est ici que se situe la part de l’affaire qui dépasse ce seul incident. Un bot de trading Telegram se veut rapide. Il l’est parce qu’il peut signer des ordres sans demander confirmation, et il ne peut signer que si la clé privée est accessible là où le bot tourne. Cryptobriefing décrit donc Bloom comme un service qui génère lui-même les clés privées de ses utilisateurs, et nomme les risques connus de cette architecture : des clés présentes côté serveur, et des comptes Telegram détournés.

Un portefeuille sous garde est un portefeuille dont un tiers détient la clé et dispose à votre place. Il en va ainsi sur une plateforme d’échange comme chez un bot de trading. Vous détenez alors une créance sur le prestataire, non un accès direct aux coins. Quels prestataires de bots conservent les clés de quelle manière, et à quel prix, c’est ce que met en regard notre panorama des bots de trading crypto.

Aucune clé privée sortie : le point resté ouvert dans le récit

Selon le rapport de news.bitcoin.com du 26 octobre 2026, Bloom a déclaré sur X qu’aucune clé privée n’était sortie, que les portefeuilles non touchés étaient en sécurité et que toutes les victimes seraient intégralement remboursées.

Une question reste ainsi ouverte, et le rapport la pose lui-même : si aucune clé n’est sortie, comment l’attaquant a-t-il obtenu le pouvoir de déplacer les fonds ? Un virement sur la blockchain Solana n’est exécuté que s’il est valablement signé. Les deux affirmations se concilient si la clé n’a jamais quitté le serveur, tout en y étant utilisable par l’attaquant. Bloom ne l’avait pas éclairci à la date de cette analyse, et sans divulgation cette lacune du récit demeure. Ce qui s’est réellement produit ne peut pas s’en déduire.

Pour vous, cela a une conséquence sobre. L’assurance que les portefeuilles non touchés sont en sécurité repose sur la même enquête qui n’a pas encore pu nommer la cause. C’est un engagement du prestataire, non un constat vérifié.

Le SOL est sorti, l’USDC est resté en place

L’attaquant n’a pas emporté tout ce qui se trouvait dans les adresses. D’après les premières analyses que résume Cryptobriefing, la sortie a visé presque exclusivement le SOL, tandis que les avoirs en USDC dans ces mêmes portefeuilles sont restés intacts.

Ce choix est révélateur. Qui travaille sous la pression du temps prend l’actif qui se déplace le plus vite et avec le moins de frottement. Un stablecoin émis par un émetteur identifié peut être gelé sur demande, le SOL non. Que les avoirs en stablecoins soient restés en place indique donc une décision délibérée de l’attaquant, et non une négligence.

Remboursement à 100 % : Bloom n’a fixé aucun délai

Bloom s’est engagé à supporter l’intégralité du préjudice, et à verser les fonds sur des portefeuilles que les victimes désignent elles-mêmes. Aucun délai n’est annoncé. news.bitcoin.com relève qu’aucune date n’a été fixée pour le remboursement, ni aucun moment pour le retour des services.

En parallèle, le prestataire suit les fonds, examine les possibilités de gel et de récupération et tente d’identifier l’attaquant. De telles annonces sont habituelles lors d’incidents de cette ampleur. Jusqu’à nouvel ordre, la seule chose solide dans cet engagement, c’est qu’il a été pris.

MiCA et conservation : ce qui s’applique aux clés de tiers en Allemagne

Qui conserve et administre des cryptoactifs pour le compte d’autrui dans l’Union européenne fournit par là même un service sur cryptoactifs au sens du règlement MiCA, et doit disposer d’un agrément. En Allemagne, l’autorité compétente est la BaFin, et les prestataires agréés figurent dans un registre public tenu par l’Autorité européenne des marchés financiers, l’ESMA. Savoir si un service que vous utilisez y est inscrit, vous pouvez le vérifier vous-même ; le présent article ne se prononce pas sur ce point.

Le second volet importe autant : un agrément n’est pas une garantie des dépôts. Les 100 000 euros protégés par client dans une banque ne s’appliquent pas aux cryptoactifs, pas même auprès d’un conservateur agréé. Un engagement de remboursement comme celui de Bloom est donc une prestation volontaire de l’entreprise et non un droit issu d’un système de garantie.

Les questions qui comptent avant d’activer un bot

Trois points se règlent avant le premier dépôt, pas après : qui génère la clé, où elle se trouve, et quel montant est accessible au bot à tout instant. Sur le troisième point, vous avez vous-même la main sur le levier, indépendamment de ce qu’un prestataire promet.

Autoconservation plutôt que portefeuille de bot : la différence sur la maîtrise de la clé

L’autoconservation signifie que la clé privée se trouve chez vous seul et qu’aucun logiciel tiers ne peut l’utiliser. Un portefeuille matériel l’impose en gardant la clé dans une puce qui ne la restitue jamais ; la signature se fait sur l’appareil, après confirmation sur l’appareil. Quels modèles le mettent en œuvre de quelle manière, et à quel prix, figure dans notre comparatif des portefeuilles matériels.

Cette architecture est plus lente qu’un bot, et c’est son objet. Un bot qui signe sans confirmation peut acheter et vendre en quelques secondes ; mais le même mécanisme travaille aussi pour quiconque obtient l’accès à l’environnement d’exécution. La décision revient donc à un arbitrage entre vitesse et maîtrise de la clé, et elle n’a pas à être la même pour l’ensemble de votre solde.

Un partage en deux est l’usage courant. Le portefeuille de négociation porte le montant que le bot doit mouvoir, et rien d’autre. Le reste se trouve sur un portefeuille auquel aucun logiciel de prestataire n’a accès. Dans le cas de Bloom, cette séparation n’aurait pas empêché la sortie, mais elle aurait plafonné le montant accessible. C’est la part du risque dont l’utilisateur dispose seul.

Bloom Manager et extension Chrome : nouvelle connexion après le redémarrage

Pour la période qui suivra la reprise, Bloom a fait une annonce qui concerne chaque utilisateur, y compris celui qui n’a pas été touché. Dès le retour des services, tous les utilisateurs devront se connecter de nouveau au Bloom Manager et à l’extension Chrome. Les victimes sont invitées à contacter le support et à transférer les valeurs restantes vers des portefeuilles nouvellement créés ; c’est ainsi que news.bitcoin.com restitue les consignes du prestataire.

Cette phase est le moment où l’hameçonnage démarre d’expérience. Une invitation à se reconnecter est un modèle tout prêt pour les attaquants, parce qu’elle est authentique. Tout message qui vous presse de vous connecter ou de saisir une phrase de récupération, vous le traitez donc comme une tentative de fraude, jusqu’à avoir vérifié l’adresse de façon indépendante. Après la fuite d’adresses de livraison chez un fabricant de portefeuilles en octobre, le même procédé s’était déjà mis en marche.

Sortie chez Bloom : sans clés à soi, il ne reste que l’engagement de remboursement

Trois démarches découlent de cet incident, et elles valent indépendamment du fait que vous utilisiez Bloom ou non :

1. Plafonner le solde sur les portefeuilles de bot. Ne laissez accessible que le montant que le bot doit mouvoir dans les prochains jours. Quel prestataire conserve de quelle manière, la mise en regard des bots de trading le montre.
2. Placer le reste sous votre propre maîtrise de clé. Un appareil qui ne restitue pas la clé ferme la voie restée ouverte ici. Les modèles et leurs coûts figurent dans le comparatif des portefeuilles matériels.
3. Choisir le lieu de négociation d’après la conservation. Qui négocie sans bot a besoin d’un prestataire à la conservation traçable et agréé ; les candidats figurent parmi les plateformes crypto réglementées.

(Au 27 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)