La plateforme d'échange de cryptomonnaies indienne Unocoin a suspendu l'intégralité de ses services après une intrusion sur ses serveurs, laissant les clients dans l'impossibilité d'accéder à leurs comptes tandis que les enquêteurs examinent des transactions inexpliquées impliquant l'infrastructure de conservation BitGo de la plateforme. Cette interruption a mis hors ligne l'une des plateformes crypto les plus anciennes d'Inde et souligne comment, sur les plateformes centralisées, l'accès aux fonds repose sur des infrastructures et des dispositifs de conservation que les clients ne contrôlent pas directement.

L'entreprise basée à Bengaluru a détecté une activité non autorisée sur ses serveurs le 6 novembre. Une seconde intrusion a suivi le 9 novembre, poussant la plateforme à arrêter ses systèmes. Unocoin a initialement déclaré qu'aucune cryptomonnaie client n'avait été perdue, mais une mise à jour de sécurité publiée le 12 novembre a reconnu que l'ampleur totale des transactions de portefeuille potentiellement non autorisées reste inconnue.

Selon Unocoin, plus de 90 % des cryptomonnaies des clients sont conservées en stockage froid, une mesure de sécurité standard du secteur conçue pour maintenir l'essentiel des fonds hors ligne, hors de portée des attaquants au niveau des serveurs. Plutôt que de tenter de restaurer les systèmes compromis, la plateforme reconstruit son infrastructure de serveurs, un processus qu'elle estime devoir durer quatre à cinq jours ouvrés.

Les transactions BitGo compliquent l'enquête

Unocoin a demandé le gel d'urgence de ses comptes professionnels auprès des dépositaires Fireblocks et BitGo peu après la détection de la première intrusion. Fireblocks a reçu la demande à 11 h 24 UTC le 6 novembre, et BitGo cinq minutes plus tard. Les deux prestataires de conservation ont confirmé les restrictions, destinées à empêcher d'autres transactions via les comptes concernés.

Malgré ces gels, Unocoin a découvert le 12 novembre des transactions sortantes impliquant une adresse Ethereum au sein de son infrastructure BitGo qui avait servi à financer des transferts de jetons ERC-20, comme l'a décrit l'entreprise dans un article de blog. BitGo enquête sur ces transactions, dont l'autorisation, le moment et la valeur totale restent à établir. Cette situation illustre une difficulté récurrente dans les incidents de sécurité touchant les plateformes d'échange : lorsque les actifs sont détenus par un dépositaire externe, la plateforme concernée dépend souvent des données et de la coopération de ce prestataire pour reconstituer les faits.

La plateforme ne peut actuellement pas accéder à ses comptes BitGo gelés pour examiner l'activité. Sa capacité à reconstituer indépendamment l'historique des transactions est en outre limitée par l'utilisation d'adresses de monnaie de change par BitGo, ce qui peut compliquer le traçage des actifs à travers plusieurs portefeuilles. Par conséquent, Unocoin n'a pas déterminé si d'autres transferts non autorisés ont eu lieu ni si des avoirs clients ont été affectés. Le point d'entrée de l'intrusion et l'exposition potentielle des informations clients restent également non élucidés.

Un examen croissant de 81 000 adresses de portefeuille vides

La suspension a suscité un examen accru après que l'enquêteur blockchain Onchain Lens a signalé dans une publication sur X environ 81 000 adresses attribuées à Unocoin sur Arkham Intelligence présentant collectivement un solde de portefeuille de zéro dollar.

Cette observation a soulevé des questions sur les réserves de la plateforme, sans toutefois établir que 81 000 portefeuilles clients avaient été vidés. Le suivi d'Arkham couvre les adresses identifiées comme appartenant à une entité et peut ne pas refléter l'intégralité de son infrastructure de conservation, en particulier les actifs détenus via des dépositaires tiers ou des portefeuilles en stockage froid non identifiés. Les analystes on-chain examinent régulièrement les adresses étiquetées sur les plateformes de renseignement lors d'incidents touchant des plateformes d'échange, comme première mesure des mouvements d'actifs. Unocoin n'a pas publié de rapprochement complet entre les engagements envers ses clients et ses avoirs actuels en cryptomonnaies.

La plateforme a déjà été confrontée à un incident similaire. En août 2017, Unocoin avait temporairement suspendu les retraits après que des attaquants ont exploité des jetons d'accès insuffisamment sécurisés, capturés dans ses journaux d'erreurs, pour effectuer des transactions de portefeuille non autorisées. L'entreprise avait ensuite corrigé la vulnérabilité et repris ses opérations.

Cette dernière interruption fait suite à la reconnaissance par CoinDCX de pertes de près de 16 millions de dollars impliquant des adresses de dépôt précédemment compromises, un autre incident ayant soulevé des questions sur les contrôles de conservation des plateformes crypto en Inde. Pour les utilisateurs des plateformes centralisées du pays, ces épisodes ont fait des dispositifs de conservation — où les fonds sont détenus, comment ils sont protégés et à quelle vitesse ils peuvent être gelés — un point de contrôle récurrent.

Unocoin n'a pas annoncé de date de réouverture ferme. Les connexions, les transactions et les retraits resteront indisponibles pendant que l'entreprise reconstruit son infrastructure, vérifie les soldes avec BitGo et Fireblocks et achève les contrôles de sécurité avant de reprendre ses opérations. Les évolutions à surveiller incluent l'issue de l'enquête de BitGo sur les transferts du 12 novembre et tout rapprochement publié par Unocoin entre les engagements envers ses clients et ses avoirs actuels, ainsi que le respect par la plateforme de son estimation de reconstruction de quatre à cinq jours ouvrés.

Source : Crypto Adventure