La plateforme d'échange de crypto Unocoin, une plateforme indienne de trading de crypto-monnaies, a déclaré le 13 novembre que les transferts contestés avaient été signés et diffusés en dehors de BitGo, un prestataire institutionnel de conservation d'actifs numériques, tandis que le gel de son compte d'entreprise BitGo avait fonctionné comme prévu jusqu'à ce stade.

La plateforme a suspendu l'ensemble de ses services le 9 novembre après avoir détecté une activité non autorisée supplémentaire. Elle avait précédemment demandé le gel de ses comptes d'entreprise détenus chez BitGo et Fireblocks, une société d'infrastructure institutionnelle d'actifs numériques, après avoir remarqué pour la première fois cette activité le 6 novembre. Pour les clients, une suspension totale signifie que le trading et les retraits restent indisponibles jusqu'à la reprise des opérations de la plateforme.

Dans une mise à jour sur l'incident, Unocoin a indiqué qu'un mécanisme de sauvegarde conçu pour préserver l'accès aux fonds dans l'éventualité où BitGo deviendrait indisponible semblait avoir été exploité. L'entreprise enquête encore sur la manière dont ce mécanisme a été utilisé, sur l'ampleur des pertes en crypto-monnaies et sur une éventuelle exposition d'informations.

Deux voies vers une signature de portefeuille

La documentation des portefeuilles de BitGo décrit une structure à trois clés : la clé utilisateur, la clé de sauvegarde et la clé BitGo. Les transactions normales utilisent la clé utilisateur et la clé BitGo pour satisfaire à une exigence de signature deux-sur-trois. La clé de sauvegarde peut toutefois être associée à l'une des deux autres clés.

La répartition de l'autorité de signature entre plusieurs clés est un pilier de la conservation institutionnelle de crypto-monnaies, car elle empêche tout détenteur unique de clé de déplacer des fonds de manière unilatérale.

L'association de la clé de sauvegarde avec la clé utilisateur crée une voie de signature qui ne nécessite pas la clé BitGo, et l'exigence de signature deux-sur-trois s'applique toujours dans ce dispositif de récupération. Ce qui change, c'est la paire de clés utilisée pour la satisfaire : la clé utilisateur et la clé de sauvegarde remplacent la combinaison habituelle utilisateur-prestataire, laissant BitGo totalement en dehors du processus de signature.

BitGo reconnaît cette limite dans sa documentation sur la politique de retrait, en précisant que ces politiques ne s'appliquent qu'aux transactions impliquant BitGo. Les transactions de récupération signées avec la clé utilisateur et la clé de sauvegarde contournent les politiques configurées auprès du prestataire.

Cette capacité de récupération préserve l'accès aux fonds lorsque le prestataire est indisponible, et elle aide à comprendre pourquoi un gel de compte ne peut pas être considéré comme une restriction généralisée sur l'ensemble des transactions que les clés du portefeuille sont capables de signer.

Enquête en cours

Unocoin a signalé avoir identifié le 12 novembre des transactions sortantes depuis une adresse Ethereum au sein de son infrastructure de portefeuilles BitGo, utilisée pour financer des tokens ERC-20, des actifs émis sur Ethereum selon une norme de tokens largement utilisée. Son explication du 13 novembre attribue l'activité contestée à une signature externe, tandis que l'utilisation présumée abusive de l'accès de sauvegarde fait toujours l'objet d'une enquête.

Dans son rapport du 12 novembre, Unocoin a indiqué que plus de 90 % des fonds en crypto-monnaies de ses clients étaient conservés en stockage à froid, ce qui signifie que les clés privées sont conservées sur des systèmes non connectés à Internet. L'entreprise était encore en train d'établir l'état complet de ses avoirs et de son exposition potentielle, de sorte que cette déclaration ne règle pas l'évaluation des pertes.

Selon la dernière mise à jour d'Unocoin, les travaux de restauration des services se poursuivent. Les questions non résolues comprennent la manière dont la voie de récupération suspectée a été accédée, les pertes ou l'exposition d'informations qui en ont résulté, et la date de reprise des services.