L'exchange di criptovalute indiano Unocoin sospetta che il meccanismo di backup del suo wallet multisignature BitGo sia stato sfruttato, dopo che transazioni in uscita sono avvenute nonostante un congelamento dell'account enterprise entrato in vigore il 6 novembre. In un aggiornamento del 13 novembre, l'exchange ha dichiarato che le transazioni contestate sono state firmate e trasmesse al di fuori della piattaforma BitGo.

Il congelamento di BitGo ha funzionato come previsto, secondo Unocoin

Unocoin ha individuato attività sospette su un wallet Ethereum il 12 novembre e ha successivamente ricevuto chiarimenti da BitGo. Secondo Unocoin, BitGo ha confermato che il congelamento dell'account enterprise è entrato in vigore il 6 novembre. Le transazioni, tuttavia, sono state firmate esternamente e trasmesse direttamente on-chain senza la piattaforma BitGo o il suo intervento.

Unocoin sospetta che sia stato utilizzato un meccanismo di recupero di emergenza del wallet per accedere ai fondi. L'exchange non ha stabilito come sia avvenuto l'accesso al meccanismo né chi abbia autorizzato i trasferimenti. Le restrizioni dell'account e la firma delle transazioni blockchain dipendono da controlli diversi, il che significa che un congelamento a un livello non blocca necessariamente l'attività nell'altro.

Il meccanismo di firma di backup sotto indagine

La documentazione dei wallet di BitGo descrive un sistema di firma due-su-tre che utilizza le chiavi dell'utente, di backup e di BitGo. Le transazioni normali si basano sulle chiavi dell'utente e di BitGo, mentre la chiave di backup supporta il recupero. La documentazione stabilisce che due chiavi disponibili possono completare una transazione senza la combinazione di firma standard. È proprio questa caratteristica a collocare le chiavi di firma, anziché il congelamento a livello di piattaforma, al centro dell'indagine: secondo lo schema documentato, due qualsiasi delle tre chiavi possono spostare fondi direttamente on-chain.

Unocoin non ha identificato quali chiavi abbiano firmato le transazioni contestate né come sia avvenuto l'accesso. La sua dichiarazione non dimostra una violazione della piattaforma BitGo né un fallimento del congelamento. Non sono stati divulgati hash delle transazioni, indirizzi di destinazione né importi verificati delle perdite.

Il 12 novembre, Unocoin ha segnalato trasferimenti in uscita da un indirizzo Ethereum utilizzato per finanziare le operazioni relative ai token ERC-20. In precedenza aveva dichiarato che le restrizioni dell'account e gli indirizzi modificati avevano complicato la tracciabilità indipendente. L'ultimo chiarimento restringe il percorso sospetto senza quantificare le perdite.

Servizi sospesi mentre continua la revisione dei fondi

Unocoin ha rilevato attività sospetta sulle infrastrutture il 6 novembre e ha richiesto il congelamento a due fornitori. Fireblocks ha ricevuto la richiesta di congelamento alle 11:24 UTC, seguita da BitGo alle 11:29 UTC. Dopo il rilevamento di ulteriore attività non autorizzata il 9 novembre, l'exchange ha sospeso tutti i servizi.

Gli investigatori hanno trovato infrastrutture compromesse, sebbene la causa principale resti poco chiara. Unocoin prevede di ricostruire i propri server anziché ripristinare l'ambiente esistente, con una stima di quattro o cinque giorni lavorativi per la ricostruzione, seguiti da controlli di sicurezza. Questi passaggi, insieme alla revisione dei fondi in corso, rappresentano le tappe che l'exchange ha fissato prima della ripresa dei servizi, mentre l'identità delle chiavi di firma e la causa principale del compromesso delle infrastrutture restano le questioni ancora irrisolte.

Oltre il 90% dei fondi in criptovalute dei clienti resta in cold storage, una configurazione che mantiene le chiavi private offline anziché su sistemi connessi a Internet, secondo l'exchange. Tale cifra non dimostra se altri saldi o informazioni sui clienti siano stati esposti. Unocoin sta rivedendo i saldi con BitGo e Fireblocks prima di ripristinare i servizi.

Fonte: CoinCentral