Unocoin afirma que la criptomoneda salió de una de sus billeteras incluso después de congelar su cuenta de BitGo, según su última actualización sobre el exploit, que también fue compartida en X. El exchange cree que se utilizó una ruta de recuperación de respaldo en las billeteras multifirma de BitGo (NYSE: BTGO) para mover sus fondos, aunque no ha identificado quién estuvo detrás del movimiento. Para cualquiera que mantenga activos con un custodio, la secuencia es un recordatorio de que una congelación confirmada por parte del custodio no cubre por sí sola todas las rutas hacia los fondos.

¿Cómo salió la criptomoneda de una billetera que estaba congelada?

Unocoin pidió a BitGo congelar sus cuentas corporativas el 6 de noviembre tras detectar actividad sospechosa. Su blog indica que las congelaciones comenzaron a las 11:24 UTC para Fireblocks y a las 11:29 UTC para BitGo. Ambos custodios confirmaron las congelaciones, y en ese momento no se encontraron pérdidas.

Sin embargo, el 13 de noviembre, Unocoin informó que sus fondos habían sido retirados de la billetera que BitGo había confirmado como congelada. La empresa señala que las billeteras multifirma de BitGo incluyen una ruta de respaldo diseñada para permitir que un cliente acceda a sus fondos incluso si BitGo deja de estar en línea.

Unocoin afirma que esta ruta «parece haber sido explotada» y que ahora está verificando cómo se accedió y utilizó.

La propia documentación de BitGo apunta a sus clientes. Su Wallet Recovery Wizard permite a los clientes retirar activos de sus billeteras «sin BitGo», utilizando la clave de usuario y la clave de respaldo para mover fondos a una nueva dirección. Los documentos de BitGo indican que estas transacciones de recuperación «omitir cualquier política que tengas con BitGo». El asistente de recuperación requiere la clave pública de respaldo, la clave pública de usuario, la frase de contraseña de la billetera y, ya sea la clave pública de BitGo o la dirección de la billetera para funcionar.

¿Quién es el responsable de la criptomoneda perdida de Unocoin?

Unocoin no ha revelado quién controlaba la clave, y tampoco ha indicado cuánta criptomoneda se perdió. Sin embargo, la empresa ha confirmado que más del 90% de las criptomonedas de los clientes están en almacenamiento en frío.

Después de que Unocoin suspendiera todos sus servicios el 9 de noviembre, rastreó las transacciones salientes desde una dirección de Ethereum en sus billeteras de BitGo, y para el 12 de noviembre descubrió que esa dirección había sido utilizada para fondear tokens ERC-20. Unocoin señala que la configuración de direcciones de cambio de BitGo dificulta reconstruir el historial completo de transacciones. Actualmente está reconstruyendo toda su infraestructura de servidores, lo que espera tome de cuatro a cinco días hábiles. Esos hilos —quién controlaba la clave, cuánta criptomoneda se movió y qué revelará la infraestructura de servidores reconstruida— son los que las actualizaciones de progreso de Unocoin están siguiendo.

También el 12 de noviembre, unas 80.986 direcciones vinculadas a Unocoin en Arkham Intelligence mostraban un valor total de cero. Sin embargo, el mismo informe señalaba que esas billeteras etiquetadas solo contenían cientos de dólares como máximo durante el último mes, con un pico de tres meses de poco más de 250.000 dólares.

En una situación similar a la disputa entre BitGo y Unocoin, WazirX y su socio de custodia Liminal pasaron meses culpándose mutuamente tras el hackeo de WazirX de 234 millones de dólares en julio de 2024. Liminal afirmó que todas las transacciones se originaron en el extremo de su cliente, mientras que WazirX argumentó que la pérdida se debió a una falla en la plataforma de Liminal, como se informó en su momento. En ambos casos, la pregunta sin resolver es qué claves o sistemas de qué parte desencadenaron los flujos de salida —el mismo punto que Unocoin dice que aún investiga para su propia pérdida.

Por separado, BitGo reportó recientemente sus resultados del tercer trimestre. La empresa registró un ingreso neto de 44,1 millones de dólares, impulsado por un aumento en el valor de su tesorería de activos digitales, y el informe indica que la ganancia no realizada fue de 71,5 millones de dólares.