Bot Trading Bloom Kuras 9.408 SOL: 49 Wallet Terkuras, 9 Pengguna Dijanjikan Ganti Rugi Penuh

Bot trading Bloom Trading menjadi sorotan pada Senin, 26 Oktober 2026, setelah sekitar 9.408 SOL raib dari wallet para penggunanya. Dana itu, yang nilainya sekitar $954.000 menurut sebagian besar laporan awal, mengalir ke satu alamat wallet yang diduga sebagai penampung hasil curian. Bloom sudah mengonfirmasi insiden ini, menyebut penyebabnya adalah celah remote code execution (RCE) di modul pihak ketiga, dan berjanji mengganti 100 persen kerugian para korban.

Bagi trader memecoin Solana, kabar ini terasa dekat. Bloom adalah bot trading yang dipakai untuk mengejar token baru di Solana dan jaringan EVM, lengkap dengan fitur snipe, copy trading, dan eksekusi otomatis dari Telegram. Ketika bot seperti ini bermasalah, yang dipertaruhkan bukan cuma satu token, tapi seluruh isi wallet yang terhubung ke bot tersebut.

Angka-angka kunci insiden Bloom

Catatan soal angka: sebagian laporan, termasuk AMBCrypto, membulatkan nilai kerugian ke sekitar $947.000 karena perbedaan patokan harga SOL saat perhitungan. Angka yang konsisten di semua sumber adalah 9.408 SOL, 49 alamat wallet, dan 9 pengguna.

Kronologi 26 Oktober: dari laporan trader sampai pengakuan Bloom

Rangkaian insiden ini bermula dari laporan para trader di X. Akun pemantau on-chain Onchain Lens termasuk yang pertama memberi peringatan: 9.408 SOL telah berpindah dari 49 korban ke satu wallet penampung, dengan peringatan bahwa angka final bisa lebih besar. Salah satu trader yang melapor, @domyxbt, menyebut kehilangan sekitar $80.000 dan mendesak pengguna Bloom lain untuk segera menarik dananya.

Bloom kemudian merespons dalam dua tahap. Pada pernyataan pertama, tim Bloom menyebut sedang menyelidiki insiden tersebut, menonaktifkan sebagian layanan sebagai langkah pencegahan, dan membuka jalur tiket dukungan bagi pengguna yang terdampak. Bloom juga menolak gagasan penggalangan dana komunitas, dengan menegaskan akan menanggung sendiri seluruh kerugian.

Pada pembaruan keamanan berikutnya di hari yang sama, Bloom menyatakan sudah menemukan vektor serangan yang persis dan mengonfirmasi cakupan insiden: 49 alamat wallet milik 9 pengguna. Menurut Bloom, tidak ada private key yang diakses atau dibobol, wallet yang tidak terdampak tetap aman, dan seluruh pengguna yang terdampak akan diganti penuh ke wallet baru yang mereka tunjuk sendiri. Bloom juga menyebut semua sistemnya sempat diambil offline untuk sementara, dan pengguna perlu login ulang ke Bloom Manager dan ekstensi Chrome setelah layanan pulih.

Kenapa hanya SOL yang hilang?

Satu detail yang banyak dibahas adalah sifat pencurian yang selektif. Beberapa korban melaporkan saldo USDC di wallet yang sama tidak tersentuh, sementara SOL mereka raib. Penjelasan ini belum dikonfirmasi Bloom dan belum berlaku untuk semua wallet korban, jadi jangan dibaca sebagai kesimpulan teknis. Yang jelas, pola ini menunjukkan penyerang tidak sekadar menyapu bersih semua aset, melainkan mengeksekusi skrip yang menargetkan saldo SOL.

Di sisi lain, klaim Bloom bahwa private key tidak bocor juga masih berupa pernyataan pihak Bloom sendiri. Identitas penyedia modul pihak ketiga yang dimaksud belum diungkap, dan detail teknis bagaimana celah RCE itu bisa memicu transfer belum dipublikasikan. Sampai bukti teknis itu dibuka, penyebab insiden ini berstatus klaim dari Bloom, bukan temuan yang sudah diverifikasi pihak independen.

Apa artinya buat pengguna bot trading

Insiden Bloom adalah pengingat keras soal model kustodi di balik bot trading. Bot seperti Bloom bekerja karena ia memegang atau mengelola kredensial yang bisa memindahkan dana pengguna. Selama bot itu berjalan normal, semuanya terasa praktis. Begitu ada celah di sistem bot atau di salah satu modul pihak ketiganya, risiko itu langsung menular ke semua wallet yang terhubung.

Kasus ini sejalan dengan pola yang pernah kami bahas sebelumnya: keamanan wallet sering jebol bukan karena blockchainnya diretas, tapi karena jalur di sekitar wallet yang bocor. Pada kasus phishing notifikasi palsu NGRAVE, korban kehilangan $2,56 juta karena tertipu pesan palsu, bukan karena hardware walletnya diretas. Pada kasus Zipcoin, private key yang bocor membuat harga token anjlok 89 persen dalam sehari. Polanya sama: satu titik lemah di luar blockchain bisa menghabiskan dana dengan cepat.

Buat yang masih memakai bot trading apa pun, langkah paling masuk akal sekarang adalah:

• Anggap bot sebagai kustodian: simpan di sana hanya dana yang siap hilang, bukan seluruh portofolio.
• Pisahkan wallet trading dan wallet penyimpanan jangka panjang, dan jangan pernah memakai satu wallet untuk keduanya.
• Kalau bot mengumumkan insiden, segera pindahkan dana yang tersisa ke wallet baru yang bersih, jangan menunggu pengumuman berikutnya.
• Periksa pengumuman resmi dari akun bot itu sendiri, bukan dari akun yang mengatasnamakan tim dukungan di kolom komentar.

Yang belum terjawab

Ada beberapa hal penting yang sampai artikel ini ditulis belum dijawab Bloom:

• Jadwal ganti rugi. Bloom berjanji mengganti 100 persen, tapi belum mengumumkan kapan pembayaran dilakukan atau apakah ada dana yang sudah dibayarkan.
• Identitas modul pihak ketiga. Bloom belum menyebut modul atau penyedia mana yang celahnya dieksploitasi.
• Nasib dana curian. Bloom menyebut sedang menelusuri dana dan menjajaki opsi pemulihan atau pembekuan, tapi belum ada konfirmasi dana berhasil dibekukan atau dipulihkan.
• Angka final. Onchain Lens sempat memperingatkan angka kerugian bisa lebih besar dari 9.408 SOL karena estimasi awal hanya mencakup satu alamat penampung.

Kami akan memperbarui artikel ini kalau Bloom merilis pembaruan resmi berikutnya, terutama soal jadwal pembayaran dan hasil penelusuran dana.