BitGo afirma que no fue el eslabón débil en el incidente de seguridad que afectó a Unocoin, uno de los exchanges de criptomonedas más antiguos de India. Según el proveedor de custodia, el exchange firmó un conjunto de transacciones de Ethereum utilizando sus propias claves de usuario y de respaldo, mientras que la clave de BitGo nunca fue utilizada.

Esa aclaración desvía el foco de la investigación alejándolo del custodio y regresándolo al propio exchange. Unocoin ha suspendido todos sus servicios, incluidos los inicios de sesión de los usuarios, mientras trabaja para determinar qué salió mal. Los hallazgos del proveedor de custodia fueron detallados en un informe de Crypto Briefing.

Una semana de congelaciones, cierres y transferencias señaladas

Los problemas comenzaron el 6 de noviembre de 2026, cuando Unocoin detectó actividad no autorizada en su plataforma y actuó con rapidez para bloquear todo.

El exchange solicitó a Fireblocks, un proveedor de infraestructura de activos digitales para empresas, que congelara sus cuentas corporativas a las 11:24 UTC. Cinco minutos después, a las 11:29 UTC, envió la misma solicitud a BitGo. Ambas congelaciones fueron confirmadas poco después de recibidas las solicitudes.

Las congelaciones no pusieron fin al episodio. El 9 de noviembre, nuevas acciones no autorizadas llevaron a Unocoin a cerrar todos los servicios de la plataforma, incluidos los inicios de sesión. El exchange comenzó a investigar una posible compromisión de sus servidores y dijo que planeaba reconstruir sus sistemas desde cero, una tarea que estimó tomaría entre 4 y 5 días hábiles.

Otro giro se produjo el 12 de noviembre, cuando Unocoin detectó transacciones de Ethereum salientes desde su infraestructura de billeteras de BitGo y escaló esas transferencias para revisión.

Cómo funciona una billetera 2-de-3 — y por qué BitGo señala a las claves

Para entender la respuesta de BitGo, conviene saber cómo estaba configurada la billetera. Unocoin utilizaba un esquema multifirma 2-de-3 en el que las tres claves son una clave de usuario, una clave de respaldo y la clave de BitGo. Dos firmas cualesquiera son suficientes para aprobar una transacción.

Este tipo de configuración es común en la custodia institucional precisamente porque distribuye la autoridad de firma entre titulares separados, de modo que ninguna parte por sí sola puede mover fondos.

Ese es el punto central del hallazgo de BitGo. Su investigación, concluida el 13 de noviembre, determinó que sus sistemas no fueron vulnerados. Las transacciones de Ethereum, según BitGo, fueron autorizadas con las claves privadas del propio Unocoin —la clave de usuario y la clave de respaldo— sin que la clave de BitGo interveniera en ningún momento.

Los hallazgos apuntan a una posible explotación del mecanismo de clave de respaldo dentro de la configuración multifirma de Unocoin, según BitGo. Eso sigue siendo una hipótesis de trabajo y no una explicación confirmada, y la investigación continúa en curso. BitGo también dijo que ningún otro cliente se vio afectado por el incidente.

La situación de los clientes de Unocoin

La postura de Unocoin es que el daño está contenido. El exchange dice que mantiene más del 90% de los activos de sus clientes en almacenamiento en frío —billeteras sin conexión a internet— y que hasta ahora no hay pérdidas confirmadas. Mantener la mayor parte de los fondos sin conexión es una práctica común entre los exchanges: el saldo en línea, menor y guardado en billeteras calientes, es el que cubre los retiros diarios, y es esa porción conectada la más expuesta cuando la infraestructura sufre un ataque.

Esa afirmación va acompañada de una admisión menos tranquilizadora: Unocoin dice que aún no tiene visibilidad completa sobre cada transacción. El exchange atribuye esa carencia a la complejidad de las direcciones de cambio, que reciben los fondos sobrantes de una transacción y pueden hacer que rastrear la ruta completa del dinero sea más complicado que seguir una sola transferencia.

Mientras tanto, los clientes no pueden iniciar sesión en absoluto hasta que termine la reconstrucción. Los indicadores a corto plazo a observar son si los sistemas reconstruidos vuelven a estar en línea dentro de los 4 a 5 días hábiles estimados y si la contabilidad de transacciones de Unocoin se completa eventualmente.

Qué significa esto para los exchanges y los proveedores de custodia

La custodia multifirma con terceros se basa en la idea de que la clave del custodio actúa como un control independiente que el cliente no puede ejercer por sí mismo. Si dos de las tres claves están bajo el control de la misma organización, la salvaguarda depende en gran medida de qué tan cuidadosamente esa organización las proteja. Un servidor comprometido que almacene o acceda a ambas claves podría, en teoría, aprobar transacciones sin la intervención del custodio. La investigación determinará si eso fue lo que ocurrió aquí.

La pregunta más grande para los traders es cómo diseñan los exchanges el componente de la clave de respaldo en sus esquemas de custodia. Si la investigación confirma que ese mecanismo fue explotado, otras plataformas con configuraciones 2-de-3 similares podrían replantearse dónde guardan sus claves de respaldo y quién puede acceder a ellas.

Si la afirmación de Unocoin de mantener más del 90% de los activos de sus clientes en almacenamiento en frío se sostiene, la mayor parte de los fondos de los usuarios estuvo fuera de la infraestructura caliente que parece haber sido el objetivo del ataque.

Hasta que Unocoin pueda dar cuenta de cada transacción saliente, incluidas las enrutadas a través de direcciones de cambio, "no hay pérdidas confirmadas" sigue siendo una declaración sobre lo que se ha verificado hasta ahora, no un recuento final.