Unocoinは、悪用事案に関する最新アップデートの中で、BitGoアカウントを凍結した後も自社ウォレットから暗号資産が流出したと発表した。このアップデートはXでも共有されている。同取引所は、BitGo(NYSE: BTGO)のマルチシグウォレットにあるバックアップ復旧経路が資金移動に使われたとみているが、実行犯はまだ特定できていない。保管業者に資産を預ける人にとって、この一連の流れは、保管業者側で確認された凍結だけでは資金への全経路を COVER できないことを想起させるものである。

凍結されたウォレットからなぜ暗号資産が流出したのか?

Unocoinは、不審な活動を検知した後、11月6日にBitGoに対して自社アカウントの凍結を要請した。同社のブログによると、凍結はFireblocksが11:24 UTC、BitGoが11:29 UTCに開始された。両保管業者とも凍結を確認しており、その時点では損失は確認されなかった。

しかし11月13日、Unocoinは、BitGoが凍結を確認済みだったウォレットから資金が流出したと報告した。同社によると、BitGoのマルチシグウォレットには、BitGoがオフラインになった場合でもクライアントが資金にアクセスできるよう設計されたバックアップ経路が含まれている。

Unocoinは、この経路が「悪用されたとみられる」とし、現在、どのようにアクセスされ使用されたのかを調査していると説明した。

一方、BitGo自身のドキュメントはクライアント側に責任を示唆している。同社のWallet Recovery Wizardを使えば、クライアントは「BitGoなしで」ウォレットから資産を取り出すことができ、ユーザーキーとバックアップキーを使って資金を新しいアドレスに移動できる。BitGoのドキュメントには、こうした復旧トランザクションは「BitGoとのあらゆるポリシーをバイパスする」と記されている。復旧ウィザードの操作には、バックアップ公開鍵、ユーザー公開鍵、ウォレットのパスフレーズ、そしてBitGo公開鍵またはウォレットアドレスのいずれかが必要となる。

Unocoinの暗号資産流出の責任はどこにあるのか?

Unocoinは、キーを管理していた人物を特定しておらず、流出した暗号資産の額も公表していない。ただし同社は、顧客の暗号資産の90%超がコールドストレージで保管されていることを確認している。

Unocoinは11月9日に全サービスを停止した後、BitGoウォレット内のイーサリアムアドレスからの送金トランザクションを追跡し、11月12日までにそのアドレスがERC-20トークンの資金源として使われていたことを突き止めた。Unocoinは、BitGoのチェンジアドレスの仕組みにより、全トランザクション履歴の復元が困難になっていると説明している。同社は現在、サーバー基盤全体の再構築を進めており、完了まで4〜5営業日を見込んでいる。キーを管理していたのは誰か、どれだけの暗号資産が動いたのか、再構築されたサーバー基盤から何が明らかになるのか——これらの糸口こそ、Unocoinの進捗アップデートが追跡しているものである。

また11月12日には、Arkham Intelligence上のUnocoin関連の約80,986のアドレスの合計残高がゼロと表示された。ただし同じレポートによると、これらのラベル付きウォレットの過去1か月間の保有額は最大でも数百ドルであり、3か月間のピークは25万ドル強だった。

BitGoとUnocoinの紛争に類似した状況として、WazirXとその保管パートナーLiminalは、2024年7月の2億3400万ドルのWazirXハッキング事件の後、数か月にわたり互いに責任を推し付け合った。当時報じられたように、Liminalはすべてのトランザクションがクライアント側から発信されたと主張し、WazirXは損失はLiminalプラットフォームの欠陥によるものだと反論した。いずれのケースでも未解決の問題は、どちらの当事者のキーやシステムが資金流出を引き起こしたのかという点であり、これはUnocoinが自社の損失についてまだ調査中である点と同じである。

別の動きとして、BitGoは最近、第3四半期の決算を発表した。デジタル資産トレジャリーの価値上昇に支えられ、純利益は4410万ドルを記録し、レポートでは含み益が7150万ドルに達したとしている。