L'échange de cryptomonnaies indien Unocoin soupçonne que le mécanisme de sauvegarde de son portefeuille multisignature BitGo a été exploité, après des transactions sortantes survenues malgré un gel de compte d'entreprise entré en vigueur le 6 novembre. Dans une mise à jour du 13 novembre, l'échange a indiqué que les transactions contestées avaient été signées et diffusées en dehors de la plateforme BitGo.

Le gel de BitGo a fonctionné comme prévu, selon Unocoin

Unocoin a identifié une activité suspecte sur un portefeuille Ethereum le 12 novembre et a ensuite reçu des clarifications de la part de BitGo. Selon Unocoin, BitGo a confirmé que son gel de compte d'entreprise était entré en vigueur le 6 novembre. Les transactions, cependant, ont été signées en externe et diffusées directement sur la blockchain sans la plateforme ni l'intervention de BitGo.

Unocoin soupçonne qu'un mécanisme de récupération d'urgence du portefeuille a été utilisé pour accéder aux fonds. L'échange n'a pas établi comment le mécanisme a été consulté ni qui a autorisé les transferts. Les restrictions de compte et la signature de transactions blockchain reposent sur des contrôles différents, ce qui signifie qu'un gel à un niveau ne bloque pas nécessairement l'activité à l'autre.

Le mécanisme de signature de sauvegarde sous investigation

La documentation des portefeuilles de BitGo décrit un système de signature à deux clés sur trois utilisant les clés de l'utilisateur, de sauvegarde et de BitGo. Les transactions normales reposent sur les clés de l'utilisateur et de BitGo, tandis que la clé de sauvegarde prend en charge la récupération. La documentation indique que deux clés disponibles peuvent finaliser une transaction sans la combinaison de signature standard. C'est cette conception qui explique pourquoi les clés de signature, plutôt que le gel au niveau de la plateforme, sont au centre de l'enquête : selon le schéma documenté, deux clés quelconques parmi les trois peuvent déplacer des fonds directement sur la blockchain.

Unocoin n'a pas identifié quelles clés ont signé les transactions contestées ni comment l'accès s'est produit. Sa déclaration n'établit pas de violation de la plateforme de BitGo ni d'échec du gel. Aucun hash de transaction, adresse de destination ni montant vérifié de perte n'a été communiqué.

Le 12 novembre, Unocoin a signalé des transferts sortants depuis une adresse Ethereum utilisée pour financer les opérations de tokens ERC-20. Il avait précédemment indiqué que les restrictions de compte et les adresses modifiées compliquaient le traçage indépendant. La dernière clarification restreint la voie suspectée sans quantifier les pertes.

Services suspendus pendant la vérification des fonds

Unocoin a détecté une activité d'infrastructure suspecte le 6 novembre et a demandé des gels à deux fournisseurs. Fireblocks a reçu sa demande de gel à 11h24 UTC, suivie de BitGo à 11h29 UTC. Après la détection d'une activité non autorisée supplémentaire le 9 novembre, l'échange a suspendu tous ses services.

Les enquêteurs ont trouvé une infrastructure compromise, mais la cause profonde reste incertaine. Unocoin prévoit de reconstruire ses serveurs plutôt que de restaurer l'environnement existant, en estimant à quatre à cinq jours ouvrés la reconstruction, suivie de contrôles de sécurité. Ces étapes, ainsi que la vérification en cours des fonds, constituent les jalons que l'échange s'est fixés avant la reprise des services, tandis que l'identité des clés de signature et la cause profonde de la compromission de l'infrastructure demeurent les inconnues à élucider.

Plus de 90 % des fonds en cryptomonnaies des clients restent en stockage à froid, un dispositif qui conserve les clés privées hors ligne plutôt que sur des systèmes connectés à Internet, selon l'échange. Ce chiffre n'établit pas si d'autres soldes ou des informations clients ont été exposés. Unocoin examine les avoirs avec BitGo et Fireblocks avant de restaurer les services.

Source : CoinCentral