Unocoin untersucht BitGo-Wallet-Backup-Mechanismus, nachdem unbefugte Überweisungen Kontosperrung umgangen haben
Wichtige Erkenntnisse
- •Unocoin geht davon aus, dass die strittigen Überweisungen über den Notfall-Wiederherstellungsmechanismus ihrer BitGo-Multisignatur-Wallet ausgeführt wurden; die Transaktionen wurden extern signiert und ohne Beteiligung der BitGo-Plattform in die Blockchain übertragen.
- •BitGos dokumentiertes Zwei-von-drei-Schlüssel-Design bedeutet, dass je zwei verfügbare Schlüssel – einschließlich des Backup-Schlüssels – Mittel direkt in die Blockchain bewegen können, sodass eine Kontosperrung auf Plattformebene solche Überweisungen nicht zwangsläufig verhindert.
- •Unocoin hat nicht identifiziert, welche Schlüssel die strittigen Transaktionen signiert haben, wer sie autorisiert hat oder wie hoch die verifizierten Verluste sind; ihre Erklärung belegt weder eine Kompromittierung der BitGo-Plattform noch ein Versagen der Sperrung.
- •Die Börse stellte alle Dienste ein, nachdem am 9. November weitere unbefugte Aktivitäten festgestellt wurden; die Ermittler fanden eine kompromittierte Infrastruktur unklarer Ursache, und ein Server-Wiederaufbau über vier bis fünf Arbeitstage samt Sicherheitsüberprüfungen ist geplant.
- •Mehr als 90 % der Kryptowährungsmittel der Kunden befinden sich in Cold Storage, während Unocoin die Bestände gemeinsam mit BitGo und Fireblocks prüft, bevor die Dienste wieder aufgenommen werden.
Die indische Kryptowährungsbörse Unocoin vermutet, dass der Backup-Mechanismus ihrer BitGo-Multisignatur-Wallet ausgenutzt wurde, nachdem trotz einer am 6. November in Kraft getretenen Unternehmenskontosperrung ausgehende Transaktionen stattfanden. In einem Update vom 13. November teilte die Börse mit, dass die strittigen Transaktionen außerhalb der BitGo-Plattform signiert und übertragen wurden.
BitGo-Sperrung funktionierte wie vorgesehen, so Unocoin
Unocoin identifizierte am 12. November fragwürdige Aktivitäten in einer Ethereum-Wallet und erhielt anschließend Aufklärungen von BitGo. Laut Unocoin bestätigte BitGo, dass die Unternehmenskontosperrung am 6. November in Kraft getreten sei. Die Transaktionen wurden jedoch extern signiert und direkt in die Blockchain übertragen, ohne Beteiligung der BitGo-Plattform.
Unocoin vermutet, dass ein Notfall-Wiederherstellungsmechanismus der Wallet genutzt wurde, um auf die Mittel zuzugreifen. Die Börse hat nicht geklärt, wie der Zugriff erfolgte oder wer die Überweisungen autorisiert hat. Kontobeschränkungen und das Signieren von Blockchain-Transaktionen beruhen auf unterschiedlichen Kontrollmechanismen, weshalb eine Sperrung auf einer Ebene Aktivitäten auf der anderen nicht zwangsläufig blockiert.
Backup-Signaturmechanismus wird untersucht
BitGos Wallet-Dokumentation beschreibt ein Zwei-von-drei-Signatursystem mit Nutzer-, Backup- und BitGo-Schlüsseln. Normale Transaktionen verwenden die Nutzer- und BitGo-Schlüssel, während der Backup-Schlüssel die Wiederherstellung unterstützt. Der Dokumentation zufolge können zwei verfügbare Schlüssel eine Transaktion ohne die übliche Signaturkombination abschließen. Genau deshalb stehen die Signaturschlüssel – und nicht die Sperrung auf Plattformebene – im Mittelpunkt der Untersuchung: Nach dem dokumentierten Schema können je zwei der drei Schlüssel Mittel direkt in die Blockchain bewegen.
Unocoin hat nicht identifiziert, welche Schlüssel die strittigen Transaktionen signiert haben oder wie der Zugriff erfolgte. Ihre Erklärung belegt weder eine Kompromittierung der BitGo-Plattform noch ein Versagen der Sperrung. Weder Transaktions-Hashes, Zieladressen noch eine verifizierte Verlustsumme wurden offengelegt.
Am 12. November berichtete Unocoin über ausgehende Überweisungen von einer Ethereum-Adresse, die zur Finanzierung von ERC-20-Token-Operationen genutzt wird. Zuvor hatte die Börse erklärt, dass Kontobeschränkungen und geänderte Adressen eine eigenständige Rückverfolgung erschwerten. Die neueste Aufklärung engt den vermuteten Weg ein, ohne die Verluste zu beziffern.
Dienste eingestellt, während die Prüfung der Mittel läuft
Unocoin erkannte am 6. November verdächtige Infrastrukturaktivitäten und forderte Sperrungen von zwei Anbietern an. Fireblocks erhielt die Sperranfrage um 11:24 UTC, BitGo folgte um 11:29 UTC. Nach der Feststellung weiterer unbefugter Aktivitäten am 9. November stellte die Börse alle Dienste ein.
Die Ermittler fanden eine kompromittierte Infrastruktur, wobei die Ursache weiterhin unklar bleibt. Unocoin plant, seine Server neu aufzubauen, statt die bestehende Umgebung wiederherzustellen, und rechnet mit vier bis fünf Arbeitstagen für den Wiederaufbau, gefolgt von Sicherheitsüberprüfungen. Diese Schritte markieren zusammen mit der laufenden Mittelprüfung die Meilensteine, die die Börse vor der Wiederaufnahme der Dienste gesetzt hat, während die Identität der Signaturschlüssel und die Ursache der Infrastrukturkompromittierung weiter offen sind.
Mehr als 90 % der Kryptowährungsmittel der Kunden befinden sich weiterhin in Cold Storage – einem Setup, bei dem private Schlüssel offline statt auf internetverbundenen Systemen aufbewahrt werden, wie die Börse mitteilt. Diese Zahl belegt nicht, ob andere Guthaben oder Kundendaten offengelegt wurden. Unocoin prüft die Bestände gemeinsam mit BitGo und Fireblocks, bevor die Dienste wieder aufgenommen werden.
Quelle: CoinCentral
