BitGo affirme qu'il n'a pas été le maillon faible dans l'incident de sécurité touchant Unocoin, l'un des échanges de cryptomonnaies les plus anciens d'Inde. Selon le fournisseur de conservation, l'échange a signé une série de transactions Ethereum avec ses propres clés utilisateur et de sauvegarde, tandis que la clé de BitGo n'a jamais été utilisée.

Cette clarification déplace l'axe de l'enquête du dépositaire vers l'échange lui-même. Unocoin a suspendu l'ensemble de ses services, y compris les connexions des utilisateurs, tandis qu'elle s'emploie à déterminer ce qui s'est passé. Les conclusions du fournisseur de conservation ont été détaillées dans un rapport de Crypto Briefing.

Une semaine de gels, d'arrêts de service et de transferts signalés

Les ennuis ont commencé le 6 novembre 2026, lorsqu'Unocoin a détecté une activité non autorisée sur sa plateforme et s'est rapidement employée à verrouiller le système.

L'échange a demandé à Fireblocks, un fournisseur d'infrastructure d'actifs numériques pour entreprises, de geler ses comptes professionnels à 11 h 24 UTC. Cinq minutes plus tard, à 11 h 29 UTC, il a adressé la même demande à BitGo. Les deux gels ont été confirmés peu après la réception des demandes.

Les gels n'ont pas mis fin à l'épisode. Le 9 novembre, de nouvelles actions non autorisées ont poussé Unocoin à arrêter tous les services de la plateforme, connexions comprises. L'échange a commencé à enquêter sur une éventuelle compromission de ses serveurs et a indiqué prévoir de reconstruire ses systèmes de zéro, un chantier estimé à 4-5 jours ouvrés.

Un nouveau rebondissement est survenu le 12 novembre, lorsqu'Unocoin a repéré des transactions Ethereum sortantes depuis son infrastructure de portefeuilles BitGo et a escaladé ces transferts pour examen.

Comment fonctionne un portefeuille 2-sur-3 — et pourquoi BitGo désigne les clés

Pour comprendre la réponse de BitGo, il faut savoir comment le portefeuille était configuré. Unocoin utilisait un dispositif multisig 2-sur-3 dans lequel les trois clés sont une clé utilisateur, une clé de sauvegarde et la clé de BitGo. Deux signatures suffisent pour approuver une transaction.

De telles configurations sont courantes en conservation institutionnelle précisément parce qu'elles répartissent le pouvoir de signature entre des détenteurs distincts, si bien qu'aucune partie isolée ne peut déplacer les fonds seule.

C'est le cœur de la conclusion de BitGo. Son enquête, achevée le 13 novembre, a conclu que ses systèmes n'avaient pas été compromis. Les transactions Ethereum, selon BitGo, ont été autorisées avec les propres clés privées d'Unocoin — la clé utilisateur et la clé de sauvegarde — la clé de BitGo n'ayant jamais été impliquée.

Les conclusions pointent vers une exploitation possible du mécanisme de clé de sauvegarde au sein du dispositif multisig d'Unocoin, selon BitGo. Cela reste une hypothèse de travail plutôt qu'une explication confirmée, et l'enquête est toujours en cours. BitGo a également indiqué qu'aucun autre client n'avait été affecté par l'incident.

Où en sont les clients d'Unocoin

La position d'Unocoin est que les dommages sont contenus. L'échange affirme détenir plus de 90 % des actifs clients en stockage à froid — des portefeuilles hors ligne non connectés à Internet — et qu'aucune perte confirmée n'a été constatée à ce jour. Conserver la majeure partie des fonds hors ligne est une pratique courante chez les échanges : le solde en ligne plus réduit, détenu dans des portefeuilles chauds, couvre les retraits quotidiens, et c'est cette partie connectée qui est la plus exposée lorsque l'infrastructure subit une attaque.

Cette affirmation s'accompagne d'un aveu moins rassurant : Unocoin indique ne pas encore disposer d'une visibilité complète sur chaque transaction. L'échange attribue ce manque à la complexité des adresses de monnaie de change, qui reçoivent les fonds restants d'une transaction et peuvent rendre la traçabilité du parcours complet des fonds plus compliquée que le suivi d'un simple transfert.

Entre-temps, les clients ne peuvent se connecter du tout jusqu'à l'achèvement de la reconstruction. Les indicateurs à surveiller à court terme sont le retour en ligne des systèmes reconstruits dans le délai estimé de 4-5 jours ouvrés et l'achèvement éventuel de la comptabilisation des transactions par Unocoin.

Ce que cela signifie pour les échanges et les fournisseurs de conservation

La conservation multisig par un tiers repose sur l'idée que la clé du dépositaire constitue un contrôle indépendant que le client ne peut pas exercer seul. Si deux des trois clés se trouvent sous le contrôle d'une même organisation, la protection dépend fortement du soin avec lequel cette organisation les protège. Un serveur compromis détenant ou accédant aux deux clés pourrait, en théorie, approuver des transactions sans l'implication du dépositaire. L'enquête déterminera si c'est ce qui s'est produit ici.

La question majeure pour les traders est la manière dont les échanges conçoivent l'aspect clé de sauvegarde de leurs dispositifs de conservation. Si l'enquête confirme que ce mécanisme a été exploité, d'autres plateformes utilisant des configurations 2-sur-3 similaires pourraient revoir l'emplacement de leurs clés de sauvegarde et les personnes pouvant y accéder.

Si l'affirmation d'Unocoin de détenir plus de 90 % des actifs clients en stockage à froid se vérifie, la majeure partie des fonds des utilisateurs se trouvait en dehors de l'infrastructure chaude qui semble avoir été ciblée.

Tant qu'Unocoin n'aura pas rendu compte de chaque transaction sortante, y compris celles passées par des adresses de monnaie de change, « aucune perte confirmée » demeure une déclaration sur ce qui a été vérifié à ce jour, et non un bilan définitif.