Торговый бот TradeWiz признал утечку приватных ключей в функции экспорта ключей SOL PVP и попросил больше не использовать прежние адреса. Компания утверждает, что другие её продукты не затронуты, и обещает полностью компенсировать подтверждённые потери. Это не взлом сети Solana: скомпрометирована инфраструктура бота, которая хранила ключи и могла подписывать сделки за пользователей.

По расчёту Bitquery, 28 и 30 сентября злоумышленник вывел активы и возвратные депозиты за токеновые счета с 20 933 адресов. Исследователи насчитали 3 523,29 SOL, ещё 189,31 SOL таких депозитов, 7 373,40 USDC, 1 534,16 USDT и другие токены — всего $459 468 при принятой ими цене $120 за SOL. Основной проход 30 сентября занял около двух с половиной часов; 20 794 кошелька потеряли SOL, ещё 139 — только токены или депозиты за закрытые счета.

Чтобы копировать сделки без отдельного подтверждения каждого перевода, TradeWiz должна была иметь доступ к приватным ключам кошельков. В собственной справке сервис разрешал импортировать и экспортировать ключ, а пользователям советовал не экспортировать его, обещая в этом случае "100% безопасность". Однако TradeWiz связала инцидент именно с функцией экспорта. Bitquery не нашла уязвимости Solana или вредоносного разрешения: каждый перевод был подписан ключом опустошаемого адреса. Поэтому остановка бота не отзывает уже скопированный ключ — средства нужно переносить на новый адрес.

TradeWiz сообщила, что отправила первую волну возвратов, но полный объём компенсаций независимо не подтверждён. По состоянию на 1 октября 09:54 UTC Bitquery оценивала, что 94% выведенных SOL всё ещё лежат на двух адресах; 191 SOL прошли через депозитный адрес KuCoin. Это не устанавливает личность владельца биржевого аккаунта. Точный способ утечки также остаётся неизвестным: TradeWiz не опубликовала список пострадавших адресов, а связь подсчёта с её инцидентом Bitquery выводит из времени операций и анализа кошелька комиссий.