Unocoin zufolge haben Kryptowerte eine seiner Wallets verlassen, obwohl das Unternehmen sein BitGo-Konto hatte einfrieren lassen – das geht aus seinem letzten Update zur Sicherheitslücke hervor, das auch auf X geteilt wurde. Die Börse geht davon aus, dass ein Backup-Wiederherstellungspfad in BitGos (NYSE: BTGO) Multisignature-Wallets genutzt wurde, um die Funds zu verschieben, hat aber nicht klären können, wer dahintersteht. Für alle, die Vermögenswerte bei einem Verwahrer halten, zeigt diese Abfolge: Eine auf Seiten des Verwahrers bestätigte Einfrierung deckt nicht jeden Weg zu den Mitteln ab.

Wie verließen Kryptowerte eine eingefrorene Wallet?

Unocoin bat BitGo am 6. November, seine Firmenkonten einzufrieren, nachdem es verdächtige Aktivitäten bemerkt hatte. Dem Blog zufolge begannen die Einfrierungen um 11:24 UTC bei Fireblocks und um 11:29 UTC bei BitGo. Beide Verwahrer bestätigten die Einfrierungen, und zu diesem Zeitpunkt wurden keine Verluste festgestellt.

Am 13. November meldete Unocoin jedoch, dass seine Funds aus der Wallet abgeflossen waren, deren Einfrierung BitGo bestätigt hatte. Das Unternehmen erklärt, BitGos Multisignature-Wallets verfügten über einen Backup-Pfad, der Kunden Zugang zu ihren Mitteln ermöglichen soll, selbst wenn BitGo offline ist.

Unocoin zufolge wurde dieser Pfad offenkundig ausgenutzt; man prüfe nun, wie er erreicht und genutzt wurde.

BitGos eigene Dokumentation verweist dagegen auf seine Kunden. Der Wallet Recovery Wizard ermöglicht Kunden, Vermögenswerte aus ihren Wallets „ohne BitGo“ zu entnehmen, indem der User Key und der Backup Key verwendet werden, um Funds an eine neue Adresse zu übertragen. BitGos Dokumentation stellt klar, dass solche Wiederherstellungstransaktionen „alle Policies mit BitGo umgehen“. Der Recovery Wizard benötigt den Backup Public Key, den User Public Key, die Wallet-Passphrase sowie entweder den BitGo Public Key oder die Wallet-Adresse.

Wer trägt die Verantwortung für Unocoins verlorene Kryptowerte?

Unocoin hat nicht benannt, wer die Kontrolle über den Schlüssel hatte, und auch nicht angegeben, wie viel Krypto verloren ging. Das Unternehmen bestätigte jedoch, dass sich mehr als 90 % der Kundenguthaben in Cold Storage befinden.

Nachdem Unocoin am 9. November alle Dienste ausgesetzt hatte, verfolgte es abgehende Transaktionen einer Ethereum-Adresse in seinen BitGo-Wallets nach und stellte bis zum 12. November fest, dass über diese Adresse ERC-20-Token finanziert worden waren. Unocoin erklärt, BitGos Change-Address-Konstruktion erschwere die Rekonstruktion der vollständigen Transaktionshistorie. Das Unternehmen baut nun seinen gesamten Server-Stack neu auf, was voraussichtlich vier bis fünf Arbeitstage dauern wird. Diese Fäden – wer den Schlüssel kontrollierte, wie viel Krypto sich bewegte und was der neu aufgebaute Server-Stack zutage fördert – verfolgen Unocoins Fortschrittsupdates.

Auch am 12. November zeigten rund 80.986 Unocoin zugeordnete Adressen auf Arkham Intelligence einen Gesamtwert von null. Derselbe Bericht stellte jedoch fest, dass die markierten Wallets im vergangenen Monat höchstens wenige hundert Dollar hielten; ihr Dreimonats-Höchststand lag bei etwas über 250.000 $.

In einer ähnlichen Situation wie der BitGo-Unocoin-Streit machten sich WazirX und sein Verwahrungspartner Liminal nach dem $234-Millionen-Hack von WazirX im Juli 2024 monatelang gegenseitig Verantwortung strittig. Liminal behauptete, alle Transaktionen seien vom Client-Seiten-Ende ausgegangen, während WazirX den Verlust auf einen Fehler der Liminal-Plattform zurückführte, wie damals berichtet. In beiden Fällen bleibt die offene Frage, wessen Schlüssel oder Systeme die Abflüsse ausgelöst haben – derselbe Punkt, den Unocoin für seinen eigenen Verlust noch untersucht.

Unabhängig davon hat BitGo kürzlich seine Ergebnisse für das dritte Quartal vorgelegt. Das Unternehmen verzeichnete ein Nettoeinkommen von 44,1 Millionen US-Dollar, getragen durch einen Wertanstieg seines Digital-Asset-Treasury; laut Bericht beläuft sich der unrealisierte Gewinn auf 71,5 Millionen US-Dollar.