Bloom Dibobol: 9.408 SOL Raib dalam 94 Detik, 48 Wallet Dikosongkan

Seorang peretas mengosongkan puluhan wallet pengguna Bloom, bot trading Telegram populer untuk Solana, dalam waktu kurang dari dua menit. Peristiwa yang terjadi pada Senin dini hari, 26 Oktober 2026, ini kembali membuka luka lama dunia trading bot: demi kecepatan, bot memegang private key penggunanya, dan siapa pun yang menguasai kunci itu bisa memindahkan dana seolah-olah dialah pemiliknya.

Bloom sendiri mengakui insiden ini dan menyebut 49 wallet milik 9 pengguna terdampak, dengan total 9.408 SOL atau sekitar $947.000. Sementara itu, firma analisis on-chain Bitquery yang menelusuri setiap transfer menghitung 48 wallet dan nilai sekitar $953.000. Selisih satu wallet dan selisih valuasi dolar ini wajar, karena harga SOL bergerak dan metode hitung tiap pihak berbeda, tapi angka intinya sama: sekitar 9.408 SOL raib dalam satu rangkaian serangan.

Kronologi 94 detik: dari transfer uji coba sampai pengurasan massal

Bitquery merekonstruksi serangan ini menit demi menit dari data on-chain. Polanya bukan serangan acak, melainkan skrip yang sudah disiapkan rapi:

Waktu (UTC, 26 Okt 2026)	Yang terjadi
01:00:28	Transfer uji coba 0,01 SOL, menetapkan alamat penampung dana curian.
01:02:08 sampai 01:02:27	Sembilan transfer kecil, masing-masing satu wallet per trader, untuk menguji akses.
01:03:07	Pengurasan penuh pertama: 6,36 SOL keluar dari satu wallet.
51 detik berikutnya	47 wallet lainnya dikosongkan satu per satu, umumnya dari saldo terbesar ke terkecil.
01:03:50	Transfer tunggal terbesar: 1.636 SOL, sekitar $166.000, atau 17,4% dari total curian.

Sumber data: investigasi on-chain Bitquery, 26 Oktober 2026, dikutip Cointelegraph, FinanceFeeds, dan Ravel.

Beberapa detail lain dari Bitquery patut dicatat. Enam wallet menyumbang 61% dari total SOL yang dicuri, jadi serangannya terkonsentrasi pada wallet bernilai besar. Peretas hanya mengambil SOL dan meninggalkan sekitar $57.000 dalam bentuk USDC di wallet korban, yang kemudian diamankan pemiliknya. Saat Bitquery mempublikasikan temuannya, hampir seluruh 9.408 SOL masih terkumpul di satu alamat penampung dan belum menyentuh exchange, bridge, maupun mixer.

Dua versi yang belum klop: celah modul vs kunci yang ditandatangani

Inilah bagian yang membuat kasus Bloom lebih dari sekadar berita peretasan biasa. Bloom menyatakan penyebabnya adalah kerentanan remote code execution (RCE) di modul pihak ketiga, yaitu celah yang memungkinkan penyerang menjalankan kode di sebuah sistem tanpa izin. Bloom juga menegaskan tidak ada private key yang diakses atau dikompromikan, dan wallet yang tidak terdampak tetap aman.

Bitquery menemukan hal yang sulit didamaikan dengan pernyataan itu: setiap pengurasan adalah transfer SOL biasa yang hanya membawa tanda tangan dari kunci wallet korban sendiri, tanpa persetujuan token (token approval), tanpa smart contract, dan tanpa penanda tangan tambahan. Dengan kata lain, dari sudut pandang blockchain, transaksi itu sah karena ditandatangani kunci yang benar. Yang belum terjawab adalah bagaimana penyerang mendapatkan otoritas penandatanganan itu.

Bitquery sendiri bersikap hati-hati: bukti on-chain tidak membuktikan siapa penyerangnya, dan tidak ditemukan tautan on-chain antara wallet penyerang dengan wallet fee Bloom. Sampai artikel ini ditulis, kedua versi tersebut belum dipertemukan secara publik, dan detail teknis lengkap belum dibuka.

Soal ganti rugi, Bloom berjanji mengganti 100% dana yang hilang langsung ke wallet aman yang ditunjuk masing-masing korban, dan menyatakan terbuka berdiskusi dengan pelaku menuju penyelesaian bersama. Laporan Criptonoticias yang diperbarui 27 Oktober 2026 menyebut Bloom kemudian mengklaim 9.408 SOL sudah dikembalikan ke sembilan pengguna, dengan sembilan transaksi yang bisa diverifikasi satu per satu di Solscan lewat tautan di unggahan X Bloom. Klaim pengembalian itu berasal dari Bloom sendiri dan belum diverifikasi pihak independen di luar perusahaan.

Wallet lama yang sudah ditinggalkan ikut kena

Detail paling mengkhawatirkan dari investigasi Bitquery justru bukan nominalnya, melainkan siapa yang kena. Dari 48 wallet yang dikuras, 24 di antaranya tidak pernah trading lewat Bloom selama sebulan terakhir. Lima wallet bahkan tidak aktif di bot tersebut sejak paruh pertama 2025, alias sudah lebih dari setahun ditinggalkan.

Artinya, berhenti memakai sebuah bot trading tidak otomatis mencabut akses yang pernah diberikan. Selama private key wallet bot masih tersimpan di sistem penyedia, dana yang tertinggal di wallet itu tetap terekspos, tidak peduli sudah berapa lama Anda tidak membukanya. Bloom sendiri menyarankan penggunanya memindahkan sisa dana ke wallet baru dengan kunci baru, saran yang berlaku umum untuk semua pengguna bot trading, bukan hanya korban.

Kenapa ini penting buat trader memecoin

Bot trading Telegram seperti Bloom hidup dari kecepatan: beli token baru dalam hitungan detik setelah launching, tanpa perlu menyetujui tiap transaksi manual. Agar bisa secepat itu, bot harus memegang private key wallet penggunanya di servernya. Itu adalah trade-off fundamental, bukan bug sesaat. Wallet bot pada dasarnya adalah hot wallet yang kuncinya dipegang pihak ketiga.

Pola ini bukan barang baru di dunia on-chain. Investigasi kami sebelumnya soal pembajakan governance X100 lewat flash loan menunjukkan betapa cepat dana bisa berpindah begitu penyerang menguasai mekanisme yang sah, dan kasus Zipcoin yang tumbang setelah private key bocor adalah pengingat lain bahwa satu kunci yang jatuh ke tangan salah bisa menghabisi proyek dalam sehari. Bedanya, pada kasus Bloom, yang dikuras bukan treasury proyek, melainkan wallet trader individu, termasuk wallet yang sudah lama tidak dipakai.

Analisis on-chain seperti yang dilakukan Bitquery di kasus ini juga pernah mengungkap praktik wash trading di Raydium. Pelajarannya sama: blockchain tidak berbohong soal apa yang terjadi, tapi tidak selalu menjelaskan siapa pelakunya dan bagaimana akses itu didapat. Di situlah pernyataan perusahaan dan bukti on-chain harus dibaca berdampingan, bukan saling menggantikan.

Bukan pertama kali bot trading jadi sasaran

Cointelegraph mengingatkan, insiden Bloom adalah yang terbaru dalam rentetan serangan terhadap bot trading Telegram. Pada September 2024, Banana Gun melaporkan 11 penggunanya kehilangan sekitar $3 juta. Setahun sebelumnya, pada Oktober 2023, pengguna bot Maestro dan Unibot kehilangan gabungan sekitar $1,1 juta akibat eksploitasi kontrak router mereka.

Pola berulangnya jelas: bot trading adalah target empuk karena menggabungkan dua hal yang disukai penyerang, yaitu kunci yang tersimpan terpusat dan pengguna yang aktif bertransaksi dalam nilai besar. Skala Bloom lebih kecil dari Banana Gun, tapi pesannya sama dan justru lebih personal: korbannya bukan satu-dua paus, melainkan sembilan trader dengan puluhan wallet.

Checklist singkat buat pengguna bot trading

• Anggap wallet bot sebagai hot wallet. Simpan di sana hanya dana yang sedang aktif Anda tradingkan, bukan tabungan.
• Kosongkan wallet bot yang sudah tidak dipakai. Pindahkan sisanya ke wallet baru yang kuncinya hanya Anda yang pegang. Berhenti trading tidak sama dengan mencabut akses.
• Pisahkan wallet trading dan wallet simpan. Jangan biarkan satu kunci menguasai seluruh portofolio Anda.
• Perhatikan pengumuman resmi, tapi verifikasi sendiri. Janji ganti rugi adalah klaim perusahaan sampai dananya benar-benar kembali ke wallet Anda.
• Waspada terhadap transfer kecil yang tidak Anda kenali. Pada kasus Bloom, transfer uji coba 0,01 SOL adalah tanda awal sebelum pengurasan besar dimulai.

Kasus Bloom masih menyisakan satu pertanyaan besar yang belum terjawab: bagaimana penyerang bisa menandatangani transaksi dengan kunci wallet korban, sementara perusahaan menyatakan tidak ada private key yang dikompromikan? Sampai Bloom atau peneliti independen membuka detail teknisnya, jawaban atas pertanyaan itu adalah selisih antara klaim perusahaan dan bukti on-chain, dan selisih itulah yang seharusnya membuat setiap pengguna bot trading berpikir ulang soal ke mana mereka menitipkan kunci walletnya.

Referensi Artikel

• Bitquery, “Bloom Trading Bot Hack: $953K in SOL From 48 Wallets”, investigasi on-chain, 26 Oktober 2026.
• Cointelegraph, “Bloom Bot Hackers Loot $953K Faster than You Can Microwave Popcorn”, 27 Oktober 2026.
• FinanceFeeds, “Bloom Hack: $953K Drained From 48 Solana Wallets in 94s”, 27 Oktober 2026.
• The Crypto Guide, “Bloom Trading Bot Drain: What Happened and the Key Lesson”, 27 Oktober 2026.
• Criptonoticias, “Bot de trading de Solana es atacado y roban 9.400 SOL”, diperbarui 27 Oktober 2026.
• KuCoin News, “Bloom Reports 9,408 SOL Drained From 49 Wallets”, 27 Oktober 2026.
• Ravel, “Bloom Trading Bot Hack: Who Signed the $950K SOL Drain?”, 27 Oktober 2026.
• Basis Desk, “Bloom Telegram Bot Drained for $953K in SOL”, 27 Oktober 2026.

Selisih hitungan wallet (48 versi Bitquery vs 49 versi Bloom) dan valuasi dolar ($947.000 versi Bloom vs $953.000 versi Bitquery) disajikan apa adanya sesuai sumbernya. Klaim pengembalian dana berasal dari Bloom dan belum diverifikasi pihak independen.