BitGo、Unocoinのセキュリティ事故で自社の鍵は一切使用されていないと発表、取引所は顧客資産の90%超がコールドストレージにあると報告
重要ポイント
- •11月13日に完了したBitGoの調査は、自社のシステムが侵害されておらず、フラグが付けられたイーサリアムのトランザクションはUnocoin自身のユーザーキーとバックアップキーで承認されたものであり、BitGoの鍵は一切関与していないと結論付けました。
- •Unocoinは2026年11月6日に不正なアクティビティを検知し、11時24分(UTC)にFireblocksへ、11時29分(UTC)にBitGoへアカウント凍結を要請し、どちらもまもなく確認されました。
- •11月9日のさらなる不正行為を受け、Unocoinはログインを含むすべてのサービスを停止し、システムのゼロからの再構築を開始しました。所要時間は4〜5営業日と見積もられています。
- •Unocoinはユーザーキー、バックアップキー、BitGoの鍵による2-of-3マルチシグ構成を使用しており、BitGoは調査の継続中、バックアップキーの仕組みの悪用の可能性を作業仮説として挙げています。
- •Unocoinは顧客資産の90%超がコールドストレージにあり、現時点で確認済みの損失はないとしていますが、チェンジアドレスの複雑さによりすべてのトランザクションを完全には把握できておらず、BitGoは他の顧客への影響はないと述べています。
インドで最も長い歴史を持つ暗号資産取引所の一つ、Unocoinに影響を与えたセキュリティ事故について、BitGoは自社が弱点ではなかったと述べています。同カストディー提供企業によると、取引所は一連のイーサリアムのトランザクションに自社のユーザーキーとバックアップキーで署名しており、BitGoの鍵は一切使用されていなかったといいます。
この明確化により、調査の焦点はカストディーから取引所自身へと移りました。Unocoinは何が起きたのかを解明する間、ユーザーログインを含むすべてのサービスを停止しています。カストディー提供企業の調査結果は、Crypto Briefingの報道で詳しく伝えられました。
凍結、停止、送金チェックが続いた一週間
事態は2026年11月6日、Unocoinがプラットフォーム上の不正なアクティビティを検知し、迅速に封じ込めを図ったことに始まりました。
同取引所は、エンタープライズ向けデジタル資産インフラ提供企業のFireblocksに対し、11時24分(UTC)に企業アカウントの凍結を要請しました。5分後の11時29分(UTC)には同じ要請をBitGoに送信し、どちらの凍結も要請後まもなく確認されました。
凍結によって事態は終息しませんでした。11月9日、さらなる不正行為により、Unocoinはログインを含むプラットフォームのすべてのサービスを停止しました。同取引所はサーバーが侵害された可能性の調査を開始し、システムをゼロから再構築する方針を明らかにしました。その作業には4〜5営業日かかると見積もられています。
その後、11月12日に新たな展開が起こりました。UnocoinはBitGoのウォレットインフラから外向きのイーサリアムのトランザクションを検知し、これらの送金を審査のためエスカレーションしました。
2-of-3ウォレットの仕組みと、BitGoが鍵を問題視する理由
BitGoの対応を理解するには、ウォレットの仕組みを知る必要があります。Unocoinは2-of-3のマルチシグ構成を使用しており、3つの鍵はユーザーキー、バックアップキー、そしてBitGoの鍵です。トランザクションの承認には、2つの署名があれば十分です。
このような構成は、署名権限が別々の保持者に分散され、単独の当事者は自分だけで資金を動かせないため、機関カストディーで広く採用されています。
ここがBitGoの調査結果の核心です。11月13日に完了した同社の調査は、自社のシステムが侵害されていなかったと結論付けました。BitGoによれば、イーサリアムのトランザクションはUnocoin自身の秘密鍵、すなわちユーザーキーとバックアップキーによって承認されており、BitGoの鍵は一切関与していなかったといいます。
BitGoによると、調査結果はUnocoinのマルチシグ構成におけるバックアップキーの仕組みが悪用された可能性を示唆しています。これは確定した説明ではなく作業仮説にとどまり、調査は現在も進行中です。またBitGoは、他の顧客はこの事故の影響を受けていないと述べました。
Unocoinの顧客はどうなっているのか
Unocoinは、被害は封じ込められたという立場です。同取引所は、顧客資産の90%超をコールドストレージ、すなわちインターネットに接続されていないオフラインのウォレットで保管しており、これまでに確認済みの損失はないとしています。資金の大半をオフラインで保管するのは取引所に一般的な手法です。ホットウォレットに保持される少額のオンライン残高が日々の出金を賄っており、インフラが攻撃を受けた際に最もさらされるのは、まさにその接続されている部分です。
その主張と並んで、あまり心強くない認識も示されています。Unocoinは、すべてのトランザクションを完全には把握できていないと説明しています。同取引所はこのギャップを、お釣り用アドレス(チェンジアドレス)の複雑さに起因すると述べています。これらはトランザクションのお釣りの資金を受け取るアドレスであり、資金の全経路を追跡する際、単一の送金を追うよりも複雑になります。
その間、顧客は再構築が完了するまで一切ログインできません。今後の注目点は、再構築されたシステムが見積もられた4〜5営業日以内に復旧するか、そしてUnocoinのトランザクション把握が最終的に完了するかどうかです。
取引所とカストディー提供企業にとっての意味
第三者によるマルチシグカストディーは、カストディーの鍵がクライアントだけでは行使できない独立したチェックとして機能するという考えに基づいています。3つの鍵のうち2つが同一組織の管理下にある場合、安全性はその組織がどれほど慎重に鍵を保護するかに大きく依存します。両方の鍵を保持またはアクセスできるサーバーが侵害されれば、理論上、カストディーの関与なしにトランザクションを承認できてしまいます。実際にそれが起きたのかどうかは、調査が明らかにする予定です。
トレーダーにとってより大きな疑問は、取引所がカストディー体制におけるバックアップキーの部分をどのように設計しているかです。調査でこの仕組みが悪用されたことが確認されれば、同様の2-of-3構成を運用する他のプラットフォームも、バックアップキーの保管場所とアクセスできる者を見直す可能性があります。
Unocoinの主張、すなわち顧客資産の90%超がコールドストレージに保管されているという説明が正しければ、ユーザー資金の大半は、攻撃の標的となったとみられるホットインフラの外にありました。
Unocoinがチェンジアドレスを経由したものを含むすべての外向きトランザクションを説明できるようになるまで、「確認済みの損失なし」という表現は、これまでに検証済みの範囲に関する声明であって、最終的な損失額ではないのです。
