BitGo niega una violación de seguridad mientras Unocoin investiga transferencias no autorizadas de wallets

BitGo afirma que sus sistemas no fueron violados en el incidente de seguridad que afecta al exchange indio de criptomonedas Unocoin, cuyos servicios siguen suspendidos. El custodio declaró que las transferencias salientes disputadas fueron firmadas con dos claves en poder del propio Unocoin, no de BitGo.

En una declaración del 13 de noviembre, BitGo explicó que Unocoin operaba un esquema de wallet de autocustodia que requería dos de tres claves de firma. Unocoin poseía la clave de usuario y la clave de respaldo, mientras que BitGo tenía la tercera. Según la revisión de BitGo, las transferencias en cuestión fueron firmadas con las dos claves en poder de Unocoin y difundidas directamente en la blockchain, sin participación de BitGo.

"La clave de BitGo nunca fue utilizada", afirmó la empresa. Añadió que ningún otro cliente resultó afectado y remitió las preguntas sobre los fondos de los clientes a Unocoin.

Como ninguna de las transferencias disputadas requirió la clave de BitGo, el caso destaca cómo la custodia de claves compartidas divide la responsabilidad entre un exchange y su proveedor de infraestructura — y por qué la seguridad operativa del propio exchange es ahora la principal pregunta abierta.

Mecanismo de respaldo bajo escrutinio

Unocoin, en su propia actualización de incidente del 13 de noviembre, reconoció que las transacciones fueron firmadas y difundidas fuera de la plataforma de BitGo. El exchange dijo que un mecanismo de respaldo diseñado para preservar el acceso a los fondos en caso de que BitGo no estuviera disponible parece haber sido explotado. Está investigando el mecanismo, junto con posibles pérdidas de criptomonedas y cuestiones de privacidad de la información.

Las rutas de firma de respaldo como esta son una característica estándar de los diseños de custodia con claves compartidas, que otorgan a los clientes una ruta independiente hacia sus activos si un proveedor deja de estar disponible.

Qué cubrió la congelación del 6 de noviembre

Unocoin dijo que detectó por primera vez actividad sospechosa el 6 de noviembre y solicitó la congelación de sus cuentas empresariales en BitGo y Fireblocks, que mantenían saldos utilizados para transacciones cotidianas. Según el exchange, ambos proveedores confirmaron que no se podían iniciar más transacciones a través de sus plataformas. BitGo dijo que su congelación del 6 de noviembre "funcionó como estaba previsto".

El exchange dijo que descubrió transacciones salientes desde una dirección de Ethereum dentro de su infraestructura de wallets de BitGo el 12 de noviembre. Esa fue la fecha del descubrimiento; la declaración de ninguna de las dos empresas especificó cuándo se ejecutaron las transferencias.

La documentación de wallets de BitGo indica que las transacciones normales utilizan la clave de usuario y la clave de BitGo, pero la clave de respaldo puede combinarse con cualquiera de las otras dos. Sus instrucciones de recuperación describen cómo firmar y difundir transacciones sin utilizar los servicios de BitGo. Bajo esa configuración, congelar el acceso a la plataforma de BitGo no elimina la capacidad independiente del cliente de firmar con sus propias dos claves. Esa distinción explica cómo pueden ocurrir transferencias sin participación de BitGo, aunque no establece quién usó las claves ni quién asume la responsabilidad de cualquier pérdida.

Los fondos de los clientes siguen bajo revisión

Unocoin reveló un acceso no autorizado a sus servidores el 9 de noviembre, deshabilitó los inicios de sesión de los clientes y dijo en ese momento que no se habían perdido fondos cripto. Su posterior aviso de incidente indicó que suspendió todos los servicios tras detectar más actividad no autorizada ese mismo día y estableció que su infraestructura había sido comprometida.

El exchange siguió diciendo a los usuarios el 13 de noviembre que "No se han perdido fondos de ningún usuario y sus activos permanecen seguros". Sin embargo, su aviso de incidente decía que todavía investigaba las pérdidas de criptomonedas y establecía el estado de sus tenencias. Unocoin dijo que más del 90% de las criptomonedas de los clientes se mantenía en almacenamiento en frío, que mantiene las claves de firma fuera de línea y alejadas de sistemas conectados a internet. El aviso no dio una cifra de pérdidas confirmada.

Una instantánea del 12 de noviembre de la página de entidad de Unocoin en Arkham, una plataforma de análisis onchain, enumeraba 80.986 direcciones atribuidas con "sin tenencias de tokens con precio". Esa instantánea por sí sola no establece un robo, cuándo cambiaron los saldos ni si Unocoin posee activos fuera de ese conjunto de direcciones. El conteo de direcciones tampoco es un conteo de clientes afectados.

El 13 de noviembre, el sitio web de Unocoin mostraba un aviso de mantenimiento. El exchange estimó que reconstruir su infraestructura de servidores tomaría de cuatro a cinco días hábiles, con verificaciones de seguridad requeridas antes de reanudar los servicios. Dijo que los retiros se reanudarían y las solicitudes pendientes se procesarían una vez restaurados los servicios, sin dar una fecha fija de reapertura. Hasta entonces, las revelaciones dejan marcadores claros a seguir: una cifra de pérdidas confirmada, el momento y la atribución de las transferencias disputadas, y una fecha firme para el regreso de los servicios en línea.