Unocoin dichiara che criptovalute hanno lasciato uno dei suoi wallet anche dopo aver congelato il proprio account BitGo, secondo il suo ultimo aggiornamento sull'exploit, condiviso anche su X. L'exchange ritiene che un percorso di recupero di backup nei wallet multisignature di BitGo (NYSE: BTGO) sia stato utilizzato per spostare i suoi fondi, anche se non ha identificato chi si trovi dietro l'operazione. Per chiunque detenga asset presso un custode, la sequenza ricorda che un congelamento confermato dal lato del custode non copre di per sé ogni percorso verso i fondi.

Come hanno lasciato le criptovalute un wallet che era stato congelato?

Unocoin ha chiesto a BitGo di congelare i propri account aziendali il 6 novembre dopo aver rilevato attività sospette. Il suo blog indica che i congelamenti sono iniziati alle 11:24 UTC per Fireblocks e alle 11:29 UTC per BitGo. Entrambi i custodi hanno confermato i congelamenti e in quel momento non sono state rilevate perdite.

Tuttavia, il 13 novembre, Unocoin ha riferito che i suoi fondi erano stati spostati dal wallet che BitGo aveva confermato essere congelato. La società dichiara che i wallet multisignature di BitGo includono un percorso di backup progettato per consentire a un cliente di accedere ai fondi anche se BitGo va offline.

Unocoin afferma che questo percorso "sembra essere stato sfruttato" e che sta ora verificando come sia stato raggiunto e utilizzato.

La documentazione di BitGo stessa punta invece i clienti. Il suo Wallet Recovery Wizard consente ai clienti di prelevare asset dai propri wallet "senza BitGo", utilizzando la chiave utente e la chiave di backup per spostare i fondi verso un nuovo indirizzo. I documenti di BitGo indicano che queste transazioni di recupero "bypassano qualsiasi policy posseduta con BitGo." Il wizard di recupero richiede per funzionare la chiave pubblica di backup, la chiave pubblica utente, la passphrase del wallet e la chiave pubblica BitGo oppure l'indirizzo del wallet.

Chi è il responsabile delle criptovalute perdute da Unocoin?

Unocoin non ha indicato chi controllasse la chiave e non ha dichiarato quanto criptovaluta sia andata perduta. La società ha però confermato che più del 90% delle criptovalute dei clienti è conservato in cold storage.

Dopo che Unocoin ha sospeso tutti i servizi il 9 novembre, ha tracciato le transazioni in uscita da un indirizzo Ethereum presente nei suoi wallet BitGo, e entro il 12 novembre ha scoperto che quell'indirizzo era stato utilizzato per finanziare token ERC-20. Unocoin dichiara che la configurazione degli indirizzi di change di BitGo rende difficile ricostruire la cronologia completa delle transazioni. Sta ora ricostruendo l'intero stack di server, un'operazione che dovrebbe richiedere da quattro a cinque giorni lavorativi. Questi fili — chi controllava la chiave, quanta criptovaluta si è spostata e cosa rivelerà lo stack di server ricostruito — sono quelli che gli aggiornamenti di Unocoin stanno seguendo.

Sempre il 12 novembre, circa 80.986 indirizzi collegati a Unocoin su Arkham Intelligence mostravano un valore totale pari a zero. Lo stesso rapporto indicava però che quei wallet etichettati avevano detenuto al massimo poche centinaia di dollari nell'ultimo mese, con un picco di tre mesi poco superiore a 250.000 dollari.

In una situazione simile alla disputa tra BitGo e Unocoin, WazirX e il suo partner di custodia Liminal hanno trascorso mesi attribuendosi reciprocamente la colpa dopo l'hack da 234 milioni di dollari contro WazirX di luglio 2024. Liminal ha sostenuto che tutte le transazioni provenissero dal lato del suo cliente, mentre WazirX ha sostenuto che la perdita fosse dovuta a un difetto della piattaforma Liminal, come riportato all'epoca. In entrambi i casi, la domanda irrisolta è quali chiavi o sistemi di quale parte abbiano messo in moto i deflussi — lo stesso punto che Unocoin dichiara di stare ancora indagando per la propria perdita.

Separatamente, BitGo ha recentemente pubblicato i risultati del terzo trimestre. La società ha registrato un utile netto di 44,1 milioni di dollari, trainato dall'aumento del valore del suo tesoro in asset digitali, con il rapporto che indica un guadagno non realizzato di 71,5 milioni di dollari.