BitGo afferma di non essere stato l'anello debole nell'incidente di sicurezza che ha coinvolto Unocoin, uno degli exchange di criptovalute più longevi dell'India. Secondo il fornitore di custodia, l'exchange ha firmato una serie di transazioni Ethereum utilizzando le proprie chiavi utente e di backup, mentre la chiave di BitGo non è mai stata usata.

Questa chiarimento sposta il focus dell'indagine dal custode verso lo stesso exchange. Unocoin ha sospeso tutti i servizi, compresi gli accessi degli utenti, mentre lavora per determinare cosa sia andato storto. I risultati del fornitore di custodia sono stati descritti in dettaglio in un report di Crypto Briefing.

Una settimana di congelamenti, chiusure e trasferimenti segnalati

I problemi sono iniziati il 6 novembre 2026, quando Unocoin ha rilevato attività non autorizzate sulla sua piattaforma e si è mosso rapidamente per mettere in sicurezza i sistemi.

L'exchange ha chiesto a Fireblocks, fornitore di infrastrutture per asset digitali aziendali, di congelare i propri account aziendali alle 11:24 UTC. Cinque minuti dopo, alle 11:29 UTC, ha inviato la stessa richiesta a BitGo. Entrambi i congelamenti sono stati confermati poco dopo le richieste.

I congelamenti non hanno posto fine all'episodio. Il 9 novembre, ulteriori azioni non autorizzate hanno spinto Unocoin a chiudere ogni servizio della piattaforma, accessi inclusi. L'exchange ha iniziato a indagare su una possibile compromissione dei propri server e ha dichiarato di voler ricostruire i sistemi da zero, un lavoro stimato in 4-5 giorni lavorativi.

Un altro colpo di scena è seguito il 12 novembre, quando Unocoin ha individuato transazioni Ethereum in uscita dalla propria infrastruttura di wallet BitGo e ha segnalato quei trasferimenti per la revisione.

Come funziona un wallet 2-su-3 — e perché BitGo indica le chiavi

Per capire la risposta di BitGo, è utile conoscere come era configurato il wallet. Unocoin utilizzava un accordo multisig 2-su-3 in cui le tre chiavi sono una chiave utente, una chiave di backup e la chiave di BitGo. Bastano due firme per approvare una transazione.

Configurazioni di questo tipo sono comuni nella custodia istituzionale proprio perché distribuiscono l'autorità di firma tra titolari separati, così che nessuna singola parte possa spostare fondi da sola.

Questo è il punto cruciale dei risultati di BitGo. La sua indagine, completata il 13 novembre, ha concluso che i suoi sistemi non erano stati violati. Le transazioni Ethereum, ha detto BitGo, erano state autorizzate utilizzando le chiavi private dello stesso Unocoin — la chiave utente e la chiave di backup — senza che la chiave di BitGo fosse mai stata coinvolta.

I risultati indicano una possibile exploitazione del meccanismo della chiave di backup all'interno della configurazione multisig di Unocoin, secondo BitGo. Resta un'ipotesi di lavoro piuttosto che una spiegazione confermata, e l'indagine è ancora in corso. BitGo ha inoltre dichiarato che nessun altro cliente è stato interessato dall'incidente.

Dove si trovano i clienti di Unocoin

La posizione di Unocoin è che i danni siano contenuti. L'exchange dichiara di mantenere oltre il 90% degli asset dei clienti in cold storage — wallet offline non collegati a Internet — e che finora non ci sono state perdite confermate. Mantenere la maggior parte dei fondi offline è una pratica comune tra gli exchange: il saldo online più piccolo, custodito negli hot wallet, copre i prelievi quotidiani, ed è proprio quella parte connessa la più esposta quando l'infrastruttura subisce un attacco.

Questa affermazione si accompagna a un'ammissione meno rassicurante: Unocoin dichiara di non avere ancora piena visibilità su ogni transazione. L'exchange attribuisce questa lacuna alla complessità degli indirizzi di resto (change addresses), che ricevono i fondi residui di una transazione e possono rendere la ricostruzione del percorso completo del denaro più complicata del semplice seguire un singolo trasferimento.

Nel frattempo, i clienti non possono affatto accedere fino al completamento della ricostruzione. Gli indicatori da monitorare a breve termine sono se i sistemi ricostruiti tornino online entro i 4-5 giorni lavorativi stimati e se la contabilizzazione delle transazioni di Unocoin venga eventualmente completata.

Cosa significa per exchange e fornitori di custodia

La custodia multisig di terze parti si basa sull'idea che la chiave del custode agisca come un controllo indipendente che il cliente non può esercitare da solo. Se due delle tre chiavi si trovano sotto il controllo della stessa organizzazione, la salvaguardia dipende fortemente da quanto attentamente quell'organizzazione le protegga. Un server compromesso che detenga o acceda a entrambe le chiavi potrebbe, in teoria, approvare transazioni senza il coinvolgimento del custode. Sarà l'indagine a determinare se sia questo ciò che è accaduto.

La domanda più grande per i trader è come gli exchange progettino la parte della chiave di backup nei loro accordi di custodia. Se l'indagine conferma che quel meccanismo è stato sfruttato, altre piattaforme che utilizzano configurazioni simili 2-su-3 potrebbero rivedere dove conservano le loro chiavi di backup e chi può accedervi.

Se l'affermazione di Unocoin di mantenere oltre il 90% degli asset dei clienti in cold storage si confermerà, la maggior parte dei fondi degli utenti si trovava al di fuori dell'infrastruttura hot che sembra essere stata il bersaglio.

Finché Unocoin non potrà contabilizzare ogni transazione in uscita, comprese quelle instradate attraverso gli indirizzi di resto, l'assenza di perdite confermate resta un'affermazione su ciò che è stato finora verificato, non un bilancio definitivo.