インドの暗号資産取引所Unocoinは、11月6日に発効した企業アカウントの凍結にもかかわらず送金が発生したことを受け、BitGoマルチシグウォレットのバックアップ仕組みが悪用された疑いがあると考えている。同社は11月13日の更新情報で、問題の取引はBitGoのプラットフォーム外で署名・ブロードキャストされたと述べた。

BitGoの凍結は意図どおり機能していたとUnocoinが説明

Unocoinは11月12日にイーサリアムウォレットの不審な活動を確認し、その後BitGoから説明を受けた。Unocoinによると、BitGoは企業アカウントの凍結が11月6日に発効したことを確認した。しかし取引は外部で署名され、BitGoのプラットフォームや関与なしに直接オンチェーンへブロードキャストされていたという。

Unocoinは、緊急ウォレットリカバリーの仕組みが資金へのアクセスに使われた疑いを持っている。同社はその仕組みがどのようにアクセスされたのか、誰が送金を承認したのかをまだ特定していない。アカウント制限とブロックチェーン上の取引署名は異なる管理に依存しており、ある層の凍結が必ずしももう一方の層の活動を阻止するとは限らない。

調査中のバックアップ署名仕組み

BitGoのウォレットドキュメントは、ユーザー鍵、バックアップ鍵、BitGo鍵を用いる3鍵中2鍵の署名方式を説明している。通常の取引はユーザー鍵とBitGo鍵に依存し、バックアップ鍵はリカバリーを支える。ドキュメントには、利用可能な2つの鍵があれば標準の署名組み合わせなしに取引を完了できると記載されている。この設計こそ、プラットフォームレベルの凍結ではなく署名鍵が調査の中心にある理由である。記載された方式では、3つの鍵のうち任意の2つが直接オンチェーンで資金を移動できる。

Unocoinは、問題の取引にどの鍵が署名したのか、アクセスがどのように行われたのかを特定していない。同社の声明は、BitGoのプラットフォームへの侵害や凍結の失敗を立証するものではない。取引ハッシュ、送金先アドレス、確認済みの損失額はいずれも開示されていない。

11月12日、UnocoinはERC-20トークン運用の資金に使われていたイーサリアムアドレスからの送金を報告した。同社は以前、アカウント制限とアドレスの変更により独自の追跡が困難になったと述べていた。今回の説明は損失額を特定しないまま、疑われる経路を絞り込むものである。

資金確認の継続中にサービス停止

Unocoinは11月6日にインフラの不審な活動を検出し、2つのプロバイダーに凍結を要請した。Fireblocksが11時24分UTCに凍結要請を受け付け、続いてBitGoが11時29分UTCに受け付けた。11月9日にさらなる不正な活動が検出された後、同取引所はすべてのサービスを停止した。

調査では侵害されたインフラが確認されたが、根本原因は依然不明である。Unocoinは既存環境を復旧するのではなくサーバーを再構築する計画で、再構築に4〜5営業日を見込み、その後にセキュリティチェックを実施する。これらの措置と継続中の資金確認は、サービス再開前に同社が設定したマイルストーンであり、署名鍵の特定とインフラ侵害の根本原因は依然として不明のままである。

同取引所によると、顧客の暗号資産資金の90%超はコールドストレージ、すなわち秘密鍵をインターネット接続されたシステムではなくオフラインで保管する仕組みに残されている。ただしこの数字は、他の残高や顧客情報が露出したかどうかを立証するものではない。Unocoinはサービス再開前にBitGoおよびFireblocksと保有資産を確認中である。

出典:CoinCentral