BitGo nie une violation de données tandis qu'Unocoin enquête sur des transferts de portefeuille non autorisés

BitGo affirme que ses systèmes n'ont pas été violés dans l'incident de sécurité touchant l'échange de cryptomonnaies indien Unocoin, dont les services restent suspendus. Le dépositaire a déclaré que les transferts sortants contestés avaient été signés avec deux clés détenues par Unocoin lui-même, et non par BitGo.

Dans une déclaration du 13 novembre, BitGo a expliqué qu'Unocoin utilisait un dispositif de portefeuille en auto-conservation nécessitant deux des trois clés de signature. Unocoin détenait la clé utilisateur et la clé de sauvegarde, tandis que BitGo détenait la troisième. Selon l'examen de BitGo, les transferts en question ont été signés avec les deux clés détenues par Unocoin et diffusés directement onchain, sans la participation de BitGo.

« La clé de BitGo n'a jamais été utilisée », a déclaré la société. Elle a ajouté qu'aucun autre client n'avait été touché et a renvoyé les questions concernant les fonds des clients vers Unocoin.

Comme aucun des transferts contestés ne nécessitait la clé de BitGo, cette affaire illustre comment la conservation à clés partagées répartit la responsabilité entre un échange et son fournisseur d'infrastructure — et pourquoi la sécurité opérationnelle de l'échange lui-même est désormais la question centrale.

Un mécanisme de sauvegarde sous examen

Unocoin, dans sa propre mise à jour d'incident du 13 novembre, a reconnu que les transactions avaient été signées et diffusées en dehors de la plateforme de BitGo. L'échange a déclaré qu'un mécanisme de sauvegarde conçu pour préserver l'accès aux fonds si BitGo devenait indisponible semblait avoir été exploité. Il enquête sur ce mécanisme, ainsi que sur d'éventuelles pertes de cryptomonnaies et des préoccupations relatives à la confidentialité des informations.

Les chemins de signature de secours de ce type sont une caractéristique standard des dispositifs de conservation à clés partagées, offrant aux clients une voie indépendante vers leurs actifs si un fournisseur devient indisponible.

Ce que le gel du 6 novembre couvrait

Unocoin a déclaré avoir détecté pour la première fois une activité suspecte le 6 novembre et avoir demandé le gel de ses comptes entreprise chez BitGo et Fireblocks, qui détenaient des soldes utilisés pour les transactions quotidiennes. Selon l'échange, les deux fournisseurs ont confirmé qu'aucune nouvelle transaction ne pouvait être initiée via leurs plateformes. BitGo a déclaré que son gel du 6 novembre avait « fonctionné comme prévu ».

L'échange a déclaré avoir découvert le 12 novembre des transactions sortantes depuis une adresse Ethereum au sein de son infrastructure de portefeuille BitGo. C'était la date de découverte ; aucune des deux sociétés n'a précisé dans ses déclarations quand les transferts avaient été exécutés.

La documentation des portefeuilles de BitGo indique que les transactions normales utilisent la clé utilisateur et la clé BitGo, mais que la clé de sauvegarde peut être associée à l'une ou l'autre des deux autres. Ses instructions de récupération décrivent la signature et la diffusion de transactions sans utiliser les services de BitGo. Dans ce dispositif, le gel de l'accès à la plateforme de BitGo ne supprime pas la capacité distincte du client de signer avec ses deux propres clés. Cette distinction explique comment des transferts peuvent se produire sans la participation de BitGo, mais elle n'établit pas qui a utilisé les clés ni qui porte la responsabilité des pertes éventuelles.

Les fonds des clients restent sous examen

Unocoin a révélé le 9 novembre un accès non autorisé à ses serveurs, a désactivé les connexions des clients et a déclaré à l'époque qu'aucun fonds en cryptomonnaies n'avait été perdu. Son avis d'incident ultérieur indiquait qu'il avait suspendu tous ses services après avoir détecté ce jour-là une nouvelle activité non autorisée et établi que son infrastructure avait été compromise.

L'échange a continué d'indiquer aux utilisateurs le 13 novembre qu'« aucun fonds utilisateur n'a été perdu et vos actifs restent en sécurité ». Son avis d'incident indiquait toutefois qu'il enquêtait encore sur les pertes de cryptomonnaies et déterminait l'état de ses avoirs. Unocoin a déclaré que plus de 90 % des cryptomonnaies des clients étaient conservées dans un stockage à froid, qui maintient les clés de signature hors ligne et à l'écart des systèmes connectés à Internet. L'avis n'a fourni aucun chiffre de pertes confirmé.

Un instantané du 12 novembre de la page d'entité Unocoin sur Arkham, une plateforme d'analyse onchain, répertoriait 80 986 adresses attribuées avec « aucun actif token évalué ». Cet instantané seul n'établit ni un vol, ni le moment où les soldes ont changé, ni si Unocoin détient des actifs en dehors de cet ensemble d'adresses. Le nombre d'adresses n'est pas non plus un décompte des clients touchés.

Le 13 novembre, le site web d'Unocoin affichait un avis de maintenance. L'échange a estimé que la reconstruction de son infrastructure de serveurs prendrait quatre à cinq jours ouvrés, des contrôles de sécurité étant requis avant la reprise des services. Il a indiqué que les retraits reprendraient et que les demandes en attente seraient traitées une fois les services restaurés, sans fournir de date de réouverture fixe. D'ici là, ces divulgations laissent des repères clairs à surveiller : un chiffre de pertes confirmé, la chronologie et l'attribution des transferts contestés, et une date ferme pour la remise en ligne des services.