La casa de criptomonedas india Unocoin sospecha que el mecanismo de respaldo de su billetera multifirma de BitGo fue explotado, luego de que ocurrieron transacciones salientes a pesar de una congelación de cuenta empresarial que entró en vigor el 6 de noviembre. En una actualización del 13 de noviembre, la casa de intercambio indicó que las transacciones en disputa fueron firmadas y transmitidas fuera de la plataforma de BitGo.

La congelación de BitGo funcionó como estaba previsto, según Unocoin

Unocoin identificó actividad cuestionable en su billetera de Ethereum el 12 de noviembre y posteriormente recibió aclaraciones de BitGo. Según Unocoin, BitGo confirmó que su congelación de cuenta empresarial entró en vigor el 6 de noviembre. Sin embargo, las transacciones fueron firmadas externamente y transmitidas directamente en cadena sin la plataforma ni la participación de BitGo.

Unocoin sospecha que se utilizó un mecanismo de recuperación de emergencia de la billetera para acceder a los fondos. La casa de intercambio no ha establecido cómo se accedió al mecanismo ni quién autorizó las transferencias. Las restricciones de cuenta y la firma de transacciones en cadena dependen de controles distintos, lo que significa que una congelación en una capa no necesariamente bloquea la actividad en la otra.

Mecanismo de firma de respaldo bajo investigación

La documentación de billeteras de BitGo describe un sistema de firma de dos de tres que utiliza claves de usuario, de respaldo y de BitGo. Las transacciones normales dependen de las claves de usuario y de BitGo, mientras que la clave de respaldo respalda la recuperación. La documentación señala que dos claves disponibles pueden completar una transacción sin la combinación de firma estándar. Ese diseño es la razón por la cual las claves de firma, en lugar de la congelación a nivel de plataforma, están en el centro de la investigación: bajo el esquema documentado, cualquiera de las dos claves de las tres puede mover fondos directamente en cadena.

Unocoin no ha identificado qué claves firmaron las transacciones en disputa ni cómo se produjo el acceso. Su declaración no establece una violación de la plataforma de BitGo ni un fallo de la congelación. No se han divulgado hashes de transacciones, direcciones de destino ni montos de pérdida verificados.

El 12 de noviembre, Unocoin reportó transferencias salientes desde una dirección de Ethereum utilizada para financiar operaciones de tokens ERC-20. Anteriormente había indicado que las restricciones de cuenta y las direcciones modificadas complicaban el rastreo independiente. La última aclaración reduce la ruta sospechada sin cuantificar las pérdidas.

Servicios suspendidos mientras continúa la revisión de fondos

Unocoin detectó actividad sospechosa en su infraestructura el 6 de noviembre y solicitó congelaciones a dos proveedores. Fireblocks recibió la solicitud de congelación a las 11:24 UTC, seguida de BitGo a las 11:29 UTC. Tras detectarse actividad no autorizada adicional el 9 de noviembre, la casa de intercambio suspendió todos los servicios.

Los investigadores hallaron infraestructura comprometida, aunque la causa raíz sigue sin estar clara. Unocoin planea reconstruir sus servidores en lugar de restaurar el entorno existente, con una estimación de cuatro a cinco días hábiles para la reconstrucción, seguida de controles de seguridad. Estos pasos, junto con la revisión de fondos en curso, marcan los hitos que la casa de intercambio ha fijado antes de reanudar los servicios, mientras la identidad de las claves de firma y la causa raíz del compromiso de la infraestructura siguen siendo las incógnitas pendientes.

Más del 90% de los fondos en criptomonedas de los clientes permanecen en almacenamiento en frío, una configuración que mantiene las claves privadas fuera de línea en lugar de en sistemas conectados a internet, según la casa de intercambio. Esa cifra no establece si otros saldos o información de clientes quedaron expuestos. Unocoin está revisando sus fondos con BitGo y Fireblocks antes de restaurar los servicios.

Fuente: CoinCentral