텔레그램 봇 BloomTrading 지갑 유출 사건: 약 49개 지갑에서 9,408개 디지털 자산 유출

BloomTrading, 지갑 유출 후 서비스 중단

2026년 10월 26일 월요일, BloomTrading의 핫월렛에서 잔액이 사라졌고, 크로스체인 AI 트레이딩 봇을 운영하는 이 팀은 아직도 침해 경로를 특정하지 못하고 있다. BloomTrading은 솔라나와 EVM 계열 네트워크에서 현물 거래를 자동화하는 텔레그램 기반 서비스를 운영하는데, 이번 장애는 회사가 사용자를 대신해 생성하고 보관하던 개인키에까지 닿았다. BloomTrading은 자신을 크로스체인 자동화 플랫폼으로 내세운다. 아토믹 스왑 설계가 보관자 없이 구현하려는 바로 그 범위다. 그러나 실제로는 봇이 키를 직접 쥐고 있었다. 침해 방식은 아직 확인되지 않았다. 회사는 제3자 공급업체 침해 가능성을 포함해 조사 중이라고 밝혔다. 온체인 기록이 확정해 주는 것은 규모다. 유출 의심 주소에 대한 모니터링 결과 약 49개 피해 지갑에서 모인 약 9,408 SOL, 95만 4,000달러에 근접한 금액이 집계됐으며, 단일 최대 인출은 약 1,636 SOL, 16만 6,000달러 안팎이었다. 온체인 추적 스레드 Onchain Lens는 최종 피해 합계가 더 늘어날 수 있다고 경고하면서 사용자들에게 세션 연결을 끊고 남은 자금을 옮기라고 촉구했다. BloomTrading은 같은 날 답변했다. X의 공식 계정은 다른 지갑은 안전하다고 밝히고, 예방 차원에서 서비스 일부를 중단했으며, 디스코드로 지원 티켓을 열어 달라고 요청했다. 이어진 추가 발표에서 팀은 피해 사용자 9명을 특정했고, 확인된 모든 손실을 전액, 사용자가 지정한 새로운 보안 지갑으로 직접 지급하겠다고 약속했다. 회사는 보상 기금이 필요 없다는 입장도 함께 내놓았다. 보상 재원은 회사 자체 자금으로 마련한다는 것이다. 회사는 출금 사기(엑짓 스캠)라는 의혹 역시 부인했다. 기고 시점 기준 확정된 피해자 수는 9명이며, 팀은 접수되는 모든 지갑 활동 보고를 검토 중이다.

사용자 9명, 지갑 49개

조사가 막 시작된 사이 사회관계망서는 사용자들의 추정이 퍼졌다. @domyxbt라는 핸들을 쓴 한 사용자는 8만 달러 손실을 주장하며 거래소 접촉에 도움을 요청했고, 7kY8qx로 시작하는 주소로 이어진 약 640.45 SOL, 6만 4,000달러 안팎의 단일 이체를 이번 유출과 연결 지었다. 이 사용자는 이후 다른 핫월렛은 손대지 않았고 유사한 봇도 사용한 적 없다는 근거로, 사라진 자금의 약 95%가 Bloom으로 역추적된다고 주장했다. BloomTrading의 공식 입장은 엑짓 스캠 해석에 반박했다. 팀은 2018년부터 소프트웨어를 만들어 왔으며, 돈을 위해 신뢰를 저울질에 올리지 않을 것이라고 밝혔다. 보상도 기금이 아니라 회사 자체 자금으로 지급한다는 점을 강조했다. 이번 사건에서 균열을 드러낸 구조는 봇의 커스터디얼(보관형) 모델이다. 이 부류의 제품은 사용자를 위해 개인키를 생성하거나 보관하는 일이 흔하다. 편의를 대가로 단일 실패 지점을 안는 셈이다. 공급업체나 내부 절차 중 하나라도 무너지면 플랫폼이 만든 모든 핫월렛이 한꺼번에 노출된다. 기록된 손실은 사실상 전부 SOL에 집중됐으며, 일부 USDC 잔액은 손대지 않은 채 남아 있었다. 사용자에게는 봇과의 활성 연결을 모두 철회하고 통제 가능한 잔액은 자기 보관 지갑으로 옮기라는 안내가 계속되고 있다. BloomTrading은 검토가 진행되는 동안 서비스 일부를 오프라인 상태로 유지하고 있으며, 디스코드 티켓만이 피해 사용자가 사건을 접수하는 유일한 공식 채널이다. 남은 질문은 회사 스스로 꼽은 것들이다. 근본 원인, 피해 지갑의 전체 규모, 그리고 약속된 보상의 지급이다. 근본 원인 보고서 공개 일정은 아직 발표되지 않았다.

핵심적 격차는 9와 49 사이에 있다. BloomTrading의 확정 집계가 온체인 합계를 따라가지 못하면 보상 비용은 커진다. 두 숫자가 서로 다른 피해자 정의 위에 놓여 있다면 근본 원인 보고서가 이 둘을 조율해야 한다. 기금 없이 직접 지급하겠다는 약속은 최종 규모가 온체인 검증을 견뎌야만 유지된다. 구조적 교훈은 이 한 봇을 넘어 사용자 키를 생성하고 저장하는 알트코인 봇 서비스 전반으로 이어진다. 그렇게 설계된 텔레그램 서비스는 편의가 제거하려던 위험을 스스로 한곳에 집중시킨다. BloomTrading이 근본 원인을 밝히기 전까지, 이 보관형 설계의 모든 배치는 같은 미해결 질문을 안고 있는 셈이다.