Bloom Trading Bot: 9.408 SOL weggesluisd uit 49 walletadressen

De Telegram-handelsbot Bloom heeft op 26 oktober 2026 een uitstroom van 9.408 SOL gemeld. Getroffen zijn volgens Blooms eigen analyse negen gebruikers met 49 walletadressen. Als ingang noemt de aanbieder een lek voor het op afstand uitvoeren van code in een module van een externe leverancier, belooft volledige vergoeding en heeft uit voorzorg alle systemen uitgeschakeld.

Voor jou als gebruiker van een handelsbot is het belangrijkste gegeven niet het bedrag, maar de bouwwijze erachter: bij Bloom maakt de aanbieder de privésleutel aan, niet jij. Precies dat scheidt een botwallet van een wallet waarover je zelf beschikt, en precies daarop hangt af wiens probleem zo’n incident uiteindelijk is.

Uitstroom bij Bloom: 9.408 SOL uit 49 adressen van negen gebruikers

De hoeveelheid is in beide geanalyseerde berichten gelijk: 9.408 SOL. Bij de tegenwaarde lopen de opgaven uiteen, omdat ze op verschillende momenten zijn berekend. Bloom zelf becijfert de schade volgens Bitcoin.com News op ongeveer 947.000 dollar, een eerste analyse van de transacties kwam op zo’n 954.000 dollar. Er blijft dus een bandbreedte van 947.000 tot 954.000 dollar, en wie er een ronde miljoen van maakt, rekent onnauwkeurig.

Ook bij het aantal gedupeerden loont een nauwkeurige blik. De eerste meldingen spraken van 49 slachtoffers. Bloom heeft dat achteraf geduid: het gaat om negen gebruikers die samen 49 adressen beheerden. Cryptobriefing noemt een bandbreedte van 48 tot 49 getroffen adressen. De grootste afzonderlijke uitstroom lag op 1.636 SOL en daarmee op ongeveer 166.000 dollar, gemeten door het observatieaccount Onchain Lens en geciteerd bij news.bitcoin.com. Individuele getroffen handelaren meldden verliezen tot 80.000 dollar.

Een observatiedienst met de naam Onchain Alert houdt het eindbedrag voor mogelijk hoger, omdat de middelen in een vermoedelijke drainer-wallet werden samengebracht. Dat is een inschatting, geen vastgesteld getal, en zo staat het hier ook.

Code op afstand uitvoeren: Bloom wijst naar een module van een externe leverancier

Bloom voert het incident terug op een complex RCE-lek. RCE staat voor remote code execution, dus voor een kwetsbaarheid waardoor een aanvaller eigen programmacode op een server van een ander kan uitvoeren. Wie dat vermogen heeft, handelt op de server met dezelfde rechten als de software die daar draait.

De herkomst van het lek verandert voor getroffenen niets

Dat de kwetsbaarheid in een ingekochte module en niet in de eigen code zat, maakt voor de gedupeerden geen verschil. Een dienst voert technisch alles uit wat in zijn naam draait, inclusief bibliotheken van anderen. Welk toegangspunt precies is opengebroken, heeft Bloom tot het moment van deze analyse niet bekendgemaakt. Cryptobriefing stelt uitdrukkelijk vast dat een oorzaak tot nu toe niet bevestigd is en dat getroffen gebruikers de kwetsbaarheid in de dienst zelf vermoeden, zonder dat dat is gecontroleerd.

Custodial wallet: bij Telegram-handelsbots maakt de aanbieder de sleutel aan

Hier ligt het deel van het verhaal dat verder reikt dan dit ene incident. Een Telegram-handelsbot moet snel zijn. Snel wordt hij doordat hij opdrachten zonder ruggespraak kan ondertekenen, en ondertekenen kan hij alleen als de privésleutel bereikbaar is waar de bot draait. Cryptobriefing beschrijft Bloom daarom als dienst die de privésleutels van zijn gebruikers zelf aanmaakt, en noemt de bekende risico’s van deze bouwwijze: sleutels die op de server liggen en overgenomen Telegram-accounts.

Een custodial wallet is een wallet waarbij een derde de sleutel beheert en voor jou beschikt. Dat is bij een exchange zo en bij een handelsbot ook. Je hebt dan een vordering op de aanbieder, geen directe toegang tot de coins. Hoe botaanbieders bewaren en wat ze kosten, verschilt per aanbieder sterk.

Geen privésleutels uitgelekt: de open plek in het verhaal van Bloom

Volgens het bericht van news.bitcoin.com van 26 oktober 2026 verklaarde Bloom op X dat er geen privésleutels waren uitgelekt, dat niet-getroffen wallets veilig waren en dat alle gedupeerden volledig zouden worden vergoed.

Daarmee blijft een vraag open, en het bericht stelt die zelf: als er geen sleutel is uitgelekt, hoe kwam de aanvaller dan aan de bevoegdheid om de middelen te verplaatsen? Een overboeking op de Solana-blockchain wordt alleen uitgevoerd als ze geldig is ondertekend. Beide uitspraken zijn met elkaar te rijmen als de sleutel de server nooit heeft verlaten, maar daar wel voor de aanvaller bruikbaar was. Bloom heeft dat tot het moment van deze analyse niet opgehelderd, en zonder openheid blijft het bij die lacune in het verhaal. Wat er werkelijk is gebeurd, valt daaruit niet af te leiden.

Voor jou heeft dat een nuchter gevolg. De verzekering dat niet-getroffen wallets veilig zijn, berust op hetzelfde onderzoek dat de oorzaak nog niet kon benoemen. Dat is een toezegging van de aanbieder, geen gecontroleerde bevinding.

SOL stroomde weg, USDC bleef liggen

De aanvaller heeft niet alles meegenomen wat in de adressen lag. Volgens de eerste analyses, die Cryptobriefing samenvat, was de uitstroom vrijwel volledig op SOL gericht, terwijl USDC-tegoeden in dezelfde wallets onaangeroerd bleven.

Die keuze zegt veel. Wie onder tijdsdruk werkt, neemt de bezitting die zich het snelst en met de minste wrijving verder laat verplaatsen. Een stablecoin van een bekende uitgever kan op verzoek worden bevroren, SOL niet. Dat de stablecoinsaldi bleven liggen, wijst dus op een bewuste keuze van de aanvaller en niet op slordigheid.

Vergoeding voor 100 procent: Bloom heeft geen termijn genoemd

Bloom heeft toegezegd de volledige schade te dragen, en wel op wallets die de getroffenen zelf aanwijzen. Een termijn daarvoor is er niet. news.bitcoin.com stelt vast dat er geen datum voor de vergoeding is vastgesteld, en ook geen moment waarop de diensten terugkomen.

Tegelijk volgt de aanbieder de middelen, onderzoekt mogelijkheden om ze te bevriezen en terug te halen en probeert de aanvaller te identificeren. Zulke aankondigingen zijn bij incidenten van deze omvang gebruikelijk. Hard aan de toezegging is voorlopig alleen dat ze is gedaan.

MiCA en bewaring: wat in de EU geldt voor sleutels van anderen

Wie in de Europese Unie cryptoactiva voor anderen bewaart en beheert, verleent daarmee een cryptoactivadienst in de zin van de MiCA-verordening en heeft daarvoor een vergunning nodig. In Nederland is de AFM daarvoor bevoegd, en de vergunninghouders staan in een openbaar register dat de Europese effectentoezichthouder ESMA bijhoudt. Of een dienst die je gebruikt daarin staat, kun je zelf nagaan; dit artikel doet daarover geen uitspraak.

Belangrijk is het tweede deel: een vergunning is geen depositogarantie. De 100.000 euro die bij een bank per klant beschermd zijn, gelden niet voor cryptoactiva, ook niet bij een bewaarder met vergunning. Een vergoedingstoezegging zoals die van Bloom is daarom een vrijwillige prestatie van het bedrijf en geen aanspraak uit een garantiestelsel.

Welke vragen tellen voordat je een bot activeert

Drie punten beantwoord je voor de eerste storting, niet erna: wie maakt de sleutel aan, waar staat hij, en welk bedrag is op elk moment voor de bot bereikbaar. Bij het derde punt heb je zelf de hand aan de hendel, ongeacht wat een aanbieder toezegt.

Self-custody in plaats van botwallet: het verschil in zeggenschap over de sleutel

Self-custody betekent dat de privésleutel alleen bij jou ligt en dat geen software van een derde hem kan gebruiken. Een hardware wallet dwingt dat af door de sleutel in een chip te bewaren die hem nooit prijsgeeft; ondertekend wordt op het apparaat, na bevestiging op het apparaat. Welke modellen dat hoe uitvoeren en wat ze kosten, staat in onze vergelijking van hardware wallets.

Deze bouwwijze is trager dan een bot, en dat is precies de bedoeling. Een bot die zonder bevestiging ondertekent, kan binnen seconden kopen en verkopen; hetzelfde mechanisme werkt echter ook voor iedereen die zich toegang verschaft tot de omgeving waarin hij draait. De beslissing komt daarmee neer op een afweging tussen snelheid en zeggenschap over de sleutel, en die hoeft niet voor je hele tegoed hetzelfde uit te vallen.

Gebruikelijk is een tweedeling. Op de handelswallet staat het bedrag dat de bot moet verhandelen, en verder niets. De rest staat op een wallet waartoe geen software van een aanbieder toegang heeft. In het geval van Bloom had die scheiding de uitstroom niet voorkomen, maar wel het bedrag beperkt dat überhaupt bereikbaar was. Dat is het deel van het risico waarover alleen de gebruiker beschikt.

Bloom Manager en Chrome-extensie: opnieuw aanmelden na de herstart

Voor de periode na de herstart heeft Bloom een aankondiging gedaan die elke gebruiker raakt, ook wie niet getroffen was. Zodra de diensten terug zijn, moeten alle gebruikers zich opnieuw aanmelden in de Bloom Manager en in de Chrome-extensie. Getroffenen moeten contact opnemen met de support en resterende tegoeden naar nieuw aangemaakte wallets verhuizen; zo geeft news.bitcoin.com de instructies van de aanbieder weer.

Deze fase is volgens de ervaring het moment waarop phishing op gang komt. Een verzoek om opnieuw aan te melden is voor aanvallers een sjabloon, juist omdat het echt is. Elk bericht dat je tot een aanmelding of tot het invoeren van een herstelzin dringt, behandel je daarom als oplichtingspoging totdat je het adres onafhankelijk hebt gecontroleerd. Na het uitlekken van verzendadressen bij een walletfabrikant in oktober kwam dezelfde truc al op gang.

Uitstroom bij Bloom: zonder eigen sleutels blijft alleen de vergoedingsbelofte

Uit dit incident volgen drie stappen, en ze gelden ongeacht of je Bloom gebruikt:

1. Tegoeden op botwallets beperken. Houd alleen het bedrag bereikbaar dat de bot de komende dagen moet verhandelen. Hoe een aanbieder bewaart, staat in diens voorwaarden en hoort voor de eerste storting gelezen te zijn.
2. De rest onder eigen sleutelbeheer brengen. Een apparaat dat de sleutel niet prijsgeeft, sluit de weg af die hier open is gebleven. De modellen en hun kosten staan in de vergelijking van hardware wallets.
3. Het handelsplatform kiezen op bewaring. Wie zonder bot handelt, heeft een aanbieder nodig met navolgbare bewaring en vergunning; aanbieders en kosten staan in onze vergelijking om bitcoin te kopen.

(Per 27 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)