BitGo nega la violazione mentre Unocoin indaga sui trasferimenti non autorizzati dal wallet

BitGo afferma che i suoi sistemi non sono stati violati nell'incidente di sicurezza che riguarda l'exchange indiano di criptovalute Unocoin, i cui servizi restano sospesi. Il custode ha dichiarato che i trasferimenti in uscita contestati erano stati firmati con due chiavi detenute da Unocoin stessa, non da BitGo.

In una dichiarazione del 13 novembre, BitGo ha spiegato che Unocoin operava con un accordo di wallet self-custody che richiedeva due delle tre chiavi di firma. Unocoin deteneva la chiave utente e la chiave di backup, mentre BitGo deteneva la terza. Secondo la revisione di BitGo, i trasferimenti in questione erano stati firmati con le due chiavi detenute da Unocoin e trasmessi direttamente onchain, senza la partecipazione di BitGo.

"La chiave di BitGo non è mai stata utilizzata", ha dichiarato l'azienda. Ha aggiunto che nessun altro cliente è stato interessato e ha rimandato le domande sui fondi dei clienti a Unocoin.

Poiché nessuno dei trasferimenti contestati richiedeva la chiave di BitGo, il caso evidenzia come la custodia a chiavi condivise riparta le responsabilità tra un exchange e il suo fornitore di infrastrutture — e perché la sicurezza operativa dello stesso exchange è ora la questione centrale ancora aperta.

Il meccanismo di backup sotto esame

Unocoin, nel proprio aggiornamento sull'incidente del 13 novembre, ha riconosciuto che le transazioni erano state firmate e trasmesse al di fuori della piattaforma di BitGo. L'exchange ha dichiarato che un meccanismo di backup progettato per preservare l'accesso ai fondi in caso di indisponibilità di BitGo sembra essere stato sfruttato. Sta indagando sul meccanismo, insieme a eventuali perdite di criptovalute e a questioni di privacy delle informazioni.

Percorsi di firma di riserva come questo sono una caratteristica standard dei modelli di custodia a chiavi condivise, che offrono ai clienti una via indipendente ai propri asset se un fornitore diventa non disponibile.

Cosa copriva il congelamento del 6 novembre

Unocoin ha dichiarato di aver rilevato per la prima volta attività sospette il 6 novembre e di aver richiesto il congelamento dei propri conti aziendali presso BitGo e Fireblocks, che detenevano i saldi utilizzati per le transazioni quotidiane. Secondo l'exchange, entrambi i fornitori hanno confermato che non si potevano più avviare transazioni attraverso le loro piattaforme. BitGo ha dichiarato che il congelamento del 6 novembre ha "funzionato come previsto".

L'exchange ha detto di aver scoperto il 12 novembre transazioni in uscita da un indirizzo Ethereum all'interno della propria infrastruttura wallet BitGo. Quella era la data della scoperta; nessuna delle due aziende ha specificato quando i trasferimenti sono stati eseguiti.

La documentazione dei wallet di BitGo stabilisce che le transazioni normali utilizzano la chiave utente e la chiave BitGo, ma la chiave di backup può essere abbinata a una qualsiasi delle altre due. Le istruzioni di recupero descrivono la firma e la trasmissione di transazioni senza utilizzare i servizi BitGo. Con tale configurazione, il congelamento dell'accesso alla piattaforma di BitGo non rimuove la capacità distinta del cliente di firmare con le proprie due chiavi. Questa distinzione spiega come i trasferimenti possano avvenire senza la partecipazione di BitGo, anche se non stabilisce chi abbia utilizzato le chiavi o chi sia responsabile di eventuali perdite.

I fondi dei clienti restano sotto verifica

Unocoin ha divulgato un accesso non autorizzato ai server il 9 novembre, ha disabilitato gli accessi dei clienti e ha dichiarato all'epoca che nessun fondo in criptovalute era stato perso. Il successivo comunicato sull'incidente ha detto di aver sospeso tutti i servizi dopo aver rilevato ulteriore attività non autorizzata quel giorno e di aver accertato che la propria infrastruttura era stata compromessa.

L'exchange ha continuato a dire agli utenti il 13 novembre che "Nessun fondo utente è stato perso e i vostri asset restano al sicuro". Il suo comunicato sull'incidente, tuttavia, ha dichiarato di essere ancora impegnato nell'indagine sulle perdite di criptovalute e nella verifica dello stato delle proprie disponibilità. Unocoin ha detto che oltre il 90% delle criptovalute dei clienti era custodito in cold storage, che mantiene le chiavi di firma offline e lontano dai sistemi connessi a internet. Il comunicato non ha fornito alcun dato confermato sulle perdite.

Uno snapshot del 12 novembre della pagina dell'entità Unocoin su Arkham, una piattaforma di analisi onchain, elencava 80.986 indirizzi attribuiti con "nessuna disponibilità di token prezzati". Quello snapshot da solo non dimostra un furto, quando i saldi siano cambiati o se Unocoin detenga asset al di fuori di quell'insieme di indirizzi. Il numero di indirizzi non è nemmeno un conteggio dei clienti interessati.

Il 13 novembre, il sito web di Unocoin mostrava un avviso di manutenzione. L'exchange ha stimato che la ricostruzione della propria infrastruttura server avrebbe richiesto da quattro a cinque giorni lavorativi, con controlli di sicurezza necessari prima della ripresa dei servizi. Ha detto che i prelievi riprenderanno e le richieste in sospeso saranno elaborate una volta ripristinati i servizi, senza fornire una data di riapertura precisa. Fintanto che non accadrà, le dichiarazioni lasciano chiari indicatori da monitorare: un dato confermato sulle perdite, i tempi e l'attribuzione dei trasferimenti contestati e una data ferma per il ritorno online dei servizi.