El exchange de criptomonedas Unocoin, una plataforma de comercio de criptomonedas con sede en India, dijo el 13 de noviembre que las transferencias disputadas de la wallet fueron firmadas y difundidas fuera de BitGo, un proveedor de custodia institucional de activos digitales, mientras que la congelación de su cuenta empresarial de BitGo había funcionado como estaba previsto hasta ese momento.

El exchange suspendió todos sus servicios el 9 de noviembre tras detectar actividad no autorizada adicional. Anteriormente había solicitado la congelación de sus cuentas empresariales mantenidas tanto con BitGo como con Fireblocks, una empresa de infraestructura de activos digitales para empresas, después de notar la actividad por primera vez el 6 de noviembre. Para los clientes, una suspensión total significa que el comercio y los retiros permanecen indisponibles hasta que el exchange restablezca sus operaciones.

En una actualización sobre el incidente, Unocoin dijo que un mecanismo de respaldo diseñado para preservar el acceso a los fondos en caso de que BitGo dejara de estar disponible parece haber sido explotado. La empresa aún está investigando cómo se utilizó ese mecanismo, el alcance de las pérdidas de criptomonedas y cualquier posible exposición de información.

Dos rutas para una firma de wallet

La documentación de wallets de BitGo describe una estructura de tres claves: la clave de usuario, la clave de respaldo y la clave de BitGo. Las transacciones normales utilizan las claves de usuario y de BitGo para cumplir el requisito de firma de dos de tres. Sin embargo, la clave de respaldo puede combinarse con cualquiera de las otras dos claves.

Dividir la autoridad de firma entre varias claves es una práctica fundamental de la custodia institucional de criptomonedas, ya que evita que cualquier titular de una sola clave mueva fondos de manera unilateral.

Combinar la clave de respaldo con la clave de usuario crea una ruta de firma que no requiere la clave de BitGo, y el requisito de dos de tres sigue aplicándose en ese esquema de recuperación. Lo que cambia es qué par de claves se utiliza para cumplirlo: las claves de usuario y de respaldo reemplazan la combinación habitual de usuario y proveedor, dejando a BitGo completamente fuera del proceso de firma.

BitGo reconoce esta limitación en su documentación de políticas de retiro, señalando que dichas políticas se aplican solo a transacciones que involucran a BitGo. Las transacciones de recuperación firmadas con las claves de usuario y de respaldo eluden las políticas configuradas con el proveedor.

Esta capacidad de recuperación preserva el acceso a los fondos cuando el proveedor no está disponible, y ayuda a explicar por qué una congelación de cuenta no puede tratarse como una restricción general sobre cada transacción que las claves de la wallet pueden firmar.

Investigación en curso

Unocoin reportó haber identificado transacciones salientes el 12 de noviembre desde una dirección de Ethereum dentro de su infraestructura de wallets de BitGo que se utilizaba para fondear tokens ERC-20, activos emitidos en Ethereum bajo un estándar de tokens ampliamente utilizado. Su explicación del 13 de noviembre atribuye la actividad disputada a firmas externas, mientras que el presunto uso indebido del acceso de respaldo sigue bajo investigación.

En su reporte del 12 de noviembre, Unocoin dijo que más del 90% de los fondos de criptomonedas de los clientes se mantenían en almacenamiento en frío, lo que significa que las claves privadas se conservan en sistemas no conectados a internet. La empresa aún estaba estableciendo el estado completo de sus tenencias y la posible exposición, por lo que esa declaración no resuelve la evaluación de pérdidas.

Según la última actualización de Unocoin, los trabajos para restablecer los servicios continúan. Las preguntas sin resolver incluyen cómo se accedió a la presunta ruta de recuperación, qué pérdidas o exposición de información resultaron y cuándo podrán reanudarse los servicios.