BitGo bestreitet Sicherheitsvorfall, während Unocoin Wallet-Überweisungen untersucht

BitGo erklärt, dass seine Systeme im Sicherheitsvorfall um die indische Kryptobörse Unocoin nicht kompromittiert wurden; die Dienste der Börse bleiben weiterhin eingestellt. Der Verwahrer teilte mit, dass die umstrittenen ausgehenden Überweisungen mit zwei Schlüsseln signiert wurden, die Unocoin selbst verwahrte – nicht von BitGo.

In einer Erklärung vom 13. November erläuterte BitGo, dass Unocoin eine Self-Custody-Wallet-Vereinbarung betrieb, die zwei von drei Signaturschlüsseln erforderte. Unocoin verwahrte den Nutzer- und den Backup-Schlüssel, während BitGo den dritten Schlüssel hielt. Nach Prüfung durch BitGo wurden die fraglichen Überweisungen mit den beiden von Unocoin verwahrten Schlüsseln signiert und direkt On-Chain übertragen, ohne Beteiligung von BitGo.

"BitGo's key was never used", teilte das Unternehmen mit. Es fügte hinzu, dass keine anderen Kunden betroffen seien, und verwies Fragen zu Kundengeldern an Unocoin.

Da keine der umstrittenen Überweisungen den Schlüssel von BitGo erforderte, verdeutlicht der Fall, wie Shared-Key-Custody die Verantwortung zwischen einer Börse und ihrem Infrastrukturanbieter aufteilt – und warum die operative Sicherheit der Börse selbst nun die zentrale offene Frage ist.

Backup-Mechanismus unter Beobachtung

Unocoin räumte in seinem eigenen Update vom 13. November ein, dass die Transaktionen außerhalb der Plattform von BitGo signiert und übertragen wurden. Die Börse erklärte, ein Backup-Mechanismus, der den Zugriff auf die Mittel sichern sollte, falls BitGo nicht verfügbar wäre, sei offenbar ausgenutzt worden. Sie untersucht den Mechanismus sowie mögliche Kryptoverluste und Datenschutzfragen.

Solche Fallback-Signaturpfade sind ein Standardmerkmal von Shared-Key-Custody-Designs und geben Kunden einen unabhängigen Zugang zu ihren Assets, falls ein Anbieter nicht verfügbar ist.

Was die Sperrung vom 6. November abdeckte

Unocoin teilte mit, dass es am 6. November erstmals verdächtige Aktivitäten entdeckte und Sperrungen seiner Enterprise-Konten bei BitGo und Fireblocks verlangte, welche Guthaben für den täglichen Zahlungsverkehr verwahrten. Nach Angaben der Börse bestätigten beide Anbieter, dass über ihre Plattformen keine weiteren Transaktionen mehr initiiert werden konnten. BitGo erklärte, seine Sperrung vom 6. November habe "funktioniert wie vorgesehen".

Die Börse teilte mit, sie habe am 12. November ausgehende Transaktionen von einer Ethereum-Adresse innerhalb ihrer BitGo-Wallet-Infrastruktur entdeckt. Das war das Entdeckungsdatum; keine der beiden Erklärungen nannte den Ausführungszeitpunkt der Überweisungen.

Die Wallet-Dokumentation von BitGo besagt, dass normale Transaktionen den Nutzerschlüssel und den BitGo-Schlüssel verwenden, der Backup-Schlüssel jedoch mit einem der beiden anderen kombiniert werden kann. Die Wiederherstellungsanleitungen beschreiben das Signieren und Übertragen von Transaktionen ohne Nutzung der BitGo-Dienste. In diesem Szenario entfernt eine Sperrung des Zugriffs auf die BitGo-Plattform nicht die separate Möglichkeit des Kunden, mit seinen eigenen beiden Schlüsseln zu signieren. Dieser Unterschied erklärt, wie Überweisungen ohne Beteiligung von BitGo erfolgen können; er klärt jedoch nicht, wer die Schlüssel verwendet hat oder wer für einen Verlust verantwortlich ist.

Kundengelder werden weiterhin geprüft

Unocoin meldete am 9. November unbefugten Serverzugriff, deaktivierte Kundenanmeldungen und erklärte zu diesem Zeitpunkt, es seien keine Kryptomittel verloren gegangen. In einer späteren Vorfallsmeldung teilte die Börse mit, sie habe nach dem Nachweis weiterer unbefugter Aktivitäten am selben Tag alle Dienste eingestellt und festgestellt, dass ihre Infrastruktur kompromittiert worden war.

Die Börse teilte den Nutzern am 13. November weiterhin mit: "No user funds have been lost, and your assets remain safe." Ihre Vorfallsmeldung erklärte jedoch, sie untersuche weiterhin mögliche Kryptoverluste und kläre den Status ihrer Bestände. Unocoin erklärte, mehr als 90 % der Kundenkryptowährung liege in Cold Storage, wodurch Signaturschlüssel offline und fern von internetverbundenen Systemen gehalten werden. Die Vorfallsmeldung nannte keine bestätigte Verlustsumme.

Ein Snapshot vom 12. November der Unocoin-Entitätsseite auf Arkham, einer On-Chain-Analyseplattform, wies 80.986 zugeordnete Adressen mit "no priced token holdings" aus. Dieser Snapshot allein belegt keinen Diebstahl, zeigt nicht, wann sich Guthaben verändert haben, und sagt nichts darüber aus, ob Unocoin Assets außerhalb dieses Adresssets hält. Die Anzahl der Adressen ist zudem keine Zahl betroffener Kunden.

Am 13. November zeigte die Website von Unocoin einen Wartungshinweis. Die Börse schätzte, dass der Wiederaufbau ihrer Server-Infrastruktur vier bis fünf Arbeitstage dauern wird; vor der Wiederinbetriebnahme seien Sicherheitsprüfungen erforderlich. Auszahlungen sollen wieder aufgenommen und offene Anträge bearbeitet werden, sobald die Dienste wiederhergestellt sind – ein fester Termin wurde jedoch nicht genannt. Bis dahin bleiben klare Anzeichen zu beobachten: eine bestätigte Verlustsumme, der Zeitpunkt und die Urheberschaft der umstrittenen Überweisungen sowie ein verbindliches Datum für die Wiederinbetriebnahme der Dienste.