L'exchange di criptovalute Unocoin, una piattaforma di trading di criptovalute con sede in India, ha dichiarato il 13 novembre che i trasferimenti contestati dai wallet sono stati firmati e trasmessi al di fuori di BitGo, un fornitore di custodia istituzionale per asset digitali, mentre il freeze sull'account enterprise BitGo aveva funzionato come previsto fino a quel momento.

L'exchange ha sospeso tutti i suoi servizi il 9 novembre dopo aver rilevato ulteriore attività non autorizzata. In precedenza aveva richiesto il freeze sui propri account enterprise presso sia BitGo che Fireblocks, un'azienda di infrastrutture per asset digitali enterprise, dopo aver notato per la prima volta l'attività il 6 novembre. Per i clienti, una sospensione totale significa che trading e prelievi restano non disponibili finché l'exchange non ripristina le operazioni.

In un aggiornamento sull'incidente, Unocoin ha dichiarato che un meccanismo di backup progettato per preservare l'accesso ai fondi nell'eventualità che BitGo diventasse non disponibile sembra essere stato sfruttato. La società sta ancora indagando su come è stato utilizzato quel meccanismo, sull'entità delle perdite di criptovalute e su un'eventuale esposizione di informazioni.

Due strade per una firma del wallet

La documentazione dei wallet di BitGo descrive una struttura a tre chiavi: la chiave utente, la chiave di backup e la chiave BitGo. Le transazioni normali utilizzano le chiavi utente e BitGo per soddisfare il requisito di firma due su tre. La chiave di backup, tuttavia, può essere abbinata a una delle altre due chiavi.

La ripartizione dell'autorità di firma su più chiavi è un pilastro della custodia istituzionale di criptovalute, poiché impedisce a qualsiasi singolo detentore di chiavi di spostare fondi unilateralmente.

L'abbinamento della chiave di backup alla chiave utente crea una strada di firma che non richiede la chiave BitGo, e il requisito due su tre resta valido in quell'assetto di recupero. Ciò che cambia è quale coppia di chiavi viene utilizzata per soddisfarlo: le chiavi utente e di backup sostituiscono la consueta combinazione utente-fornitore, lasciando BitGo completamente fuori dal processo di firma.

BitGo riconosce questo limite nella documentazione della propria politica di prelievo, precisando che tali politiche si applicano solo alle transazioni che coinvolgono BitGo. Le transazioni di recupero firmate con le chiavi utente e di backup aggirano le politiche configurate presso il fornitore.

Questa capacità di recupero preserva l'accesso ai fondi quando il fornitore non è disponibile, e aiuta a spiegare perché un freeze dell'account non può essere considerato una restrizione generalizzata su ogni transazione che le chiavi del wallet sono in grado di firmare.

Indagine in corso

Unocoin ha riferito di aver identificato il 12 novembre transazioni in uscita da un indirizzo Ethereum all'interno della propria infrastruttura di wallet BitGo utilizzata per finanziare token ERC-20, asset emessi su Ethereum secondo uno standard di token ampiamente diffuso. La spiegazione fornita il 13 novembre attribuisce l'attività contestata a una firma esterna, mentre il sospetto uso improprio dell'accesso di backup resta sotto indagine.

Nel rapporto del 12 novembre, Unocoin ha dichiarato che oltre il 90% dei fondi in criptovalute dei clienti era conservato in cold storage, ovvero che le chiavi private sono mantenute su sistemi non connessi a internet. La società era ancora nel processo di accertare lo stato completo delle proprie disponibilità e la potenziale esposizione, quindi tale affermazione non risolve la valutazione delle perdite.

Secondo l'ultimo aggiornamento di Unocoin, i lavori di ripristino dei servizi proseguono. Le questioni ancora aperte includono come è stato accessibile il sospetto percorso di recupero, quali perdite o esposizione di informazioni ne siano derivati e quando i servizi potranno riprendere.