Unocoin indique que des cryptomonnaies ont quitté l'un de ses portefeuilles même après le gel de son compte BitGo, selon sa dernière mise à jour sur l'exploitation, également partagée sur X. La plateforme estime qu'un chemin de récupération de secours dans les portefeuilles multisignatures de BitGo (NYSE : BTGO) a été utilisé pour déplacer ses fonds, sans avoir identifié qui était à l'origine de ce transfert. Pour quiconque détient des actifs auprès d'un dépositaire, cette séquence rappelle qu'un gel confirmé du côté du dépositaire ne couvre pas en soi toutes les voies d'accès aux fonds.

Comment des cryptos ont-elles quitté un portefeuille gelé ?

Unocoin a demandé à BitGo de geler ses comptes d'entreprise le 6 novembre après avoir détecté une activité suspecte. Son blog indique que les gels ont commencé à 11h24 UTC pour Fireblocks et à 11h29 UTC pour BitGo. Les deux dépositaires ont confirmé les gels, et aucune perte n'avait été constatée à ce moment-là.

Cependant, le 13 novembre, Unocoin a signalé que ses fonds avaient été déplacés hors du portefeuille que BitGo avait confirmé être gelé. L'entreprise précise que les portefeuilles multisignatures de BitGo incluent un chemin de secours conçu pour permettre à un client d'accéder à ses fonds même si BitGo est hors ligne.

Unocoin déclare que ce chemin « semble avoir été exploité » et qu'elle vérifie actuellement comment il a été atteint et utilisé.

La documentation de BitGo renvoie quant à elle la responsabilité vers ses clients. Son Wallet Recovery Wizard permet aux clients de retirer des actifs de leurs portefeuilles « sans BitGo », en utilisant la clé utilisateur et la clé de secours pour transférer les fonds vers une nouvelle adresse. Les documents de BitGo indiquent que ces transactions de récupération « contournent toutes les policies que vous avez avec BitGo ». L'assistant de récupération nécessite la clé publique de secours, la clé publique utilisateur, la phrase secrète du portefeuille, et soit la clé publique BitGo, soit l'adresse du portefeuille pour fonctionner.

Qui est responsable de la perte de cryptos d'Unocoin ?

Unocoin n'a pas identifié qui contrôlait la clé, et n'a pas non plus indiqué le montant de cryptos perdu. L'entreprise a toutefois confirmé que plus de 90 % des cryptos des clients sont conservées en cold storage.

Après avoir suspendu tous ses services le 9 novembre, Unocoin a retracé les transactions sortantes d'une adresse Ethereum dans ses portefeuilles BitGo, et le 12 novembre, elle avait découvert que cette adresse avait servi à alimenter des tokens ERC-20. Unocoin indique que la configuration des adresses de change de BitGo rend difficile la reconstitution de l'historique complet des transactions. Elle reconstruit actuellement l'intégralité de sa pile de serveurs, un processus qui devrait prendre quatre à cinq jours ouvrés. Ces pistes — qui contrôlait la clé, combien de cryptos ont été déplacées, et ce que révélera la pile de serveurs reconstruite — sont celles que les mises à jour de progression d'Unocoin suivent.

Également le 12 novembre, environ 80 986 adresses liées à Unocoin sur Arkham Intelligence affichaient une valeur totale de zéro. Le même rapport indiquait toutefois que ces portefeuilles étiquetés ne détenaient au maximum que quelques centaines de dollars au cours du mois écoulé, avec un pic sur trois mois à peine supérieur à 250 000 $.

Dans une situation similaire au différend entre BitGo et Unocoin, WazirX et son partenaire de conservation Liminal se sont accusés mutuellement pendant des mois après le piratage de WazirX de 234 millions de dollars en juillet 2024. Liminal affirmait que toutes les transactions provenaient du côté de son client, tandis que WazirX soutenait que la perte était due à une défaillance de la plateforme Liminal, comme rapporté à l'époque. Dans les deux cas, la question non résolue est de savoir quelles clés ou quels systèmes de quelle partie ont déclenché les sorties — le même point qu'Unocoin déclare encore investiguer concernant sa propre perte.

Par ailleurs, BitGo a récemment publié ses résultats du troisième trimestre. L'entreprise a enregistré un résultat net de 44,1 millions de dollars, porté par la hausse de la valeur de sa trésorerie en actifs numériques, le rapport faisant état d'un gain latent de 71,5 millions de dollars.