インドの暗号資産取引所Unocoinがサーバー侵害を受け、すべてのサービスを停止した。顧客はアカウントにアクセスできない状態となり、調査当局らは同プラットフォームのBitGo保管インフラに関わる不可解な取引を調べている。この障害により、インドで最も長い歴史を持つ暗号資産取引所の一つがオフラインとなり、中央集中型プラットフォームでは資金へのアクセスが、顧客が直接管理できないインフラと保管体制に依存していることが浮き彫りになった。

本社をベンガルールに置く同社は、11月6日にサーバー上で不正なアクティビティを検出した。11月9日に2回目の侵入が発生し、取引所はシステムを停止した。Unocoinは当初、顧客の暗号資産に損失はなかったと述べていたが、11月12日に公開したセキュリティ更新で、不正な可能性のあるウォレット取引の全容は依然として不明であると認めた。

Unocoinによると、顧客の暗号資産の90%超はコールドストレージで保管されており、これは資金の大部分をオフラインに保ち、サーバーレベルの攻撃者の手の届かない場所に置くための業界の標準的な安全策である。同取引所は侵害されたシステムの復旧を試みるのではなく、サーバーインフラを再構築しており、この作業には4〜5営業日かかる見込みだという。

BitGoの取引が調査を複雑化

Unocoinは、最初の侵害を検出した直後、保管業者であるFireblocksとBitGoの法人アカウントに対する緊急凍結を要請した。Fireblocksは11月6日11:24(UTC)にこの要請を受け取り、BitGoはその5分後に受け取った。両保管業者は制限を確認し、これは影響を受けたアカウントからの追加取引を防止することを目的としたものだった。

凍結にもかかわらず、Unocoinは11月12日、BitGoインフラ内のイーサリアムアドレスからERC-20トークンの送金に資金が供給される出金取引が発生していることを発見した。同社はブログ記事でこの件を説明している。BitGoはこれらの取引を調査中であり、その承認、時期、総額はまだ確定していない。この状況は、取引所のセキュリティインシデントにおける繰り返される難しさを反映している。資産が外部の保管業者にある場合、影響を受けたプラットフォームは何が起きたかを再構築するために、その業者のデータと協力に依存することが多い。

同取引所は現在、凍結されたBitGoアカウントにアクセスできず、アクティビティを確認することができない。取引履歴を独自に再構築する能力も、BitGoの変更アドレス(チェンジアドレス)の使用によってさらに制限されており、複数のウォレット間での資産の追跡が複雑になる可能性がある。その結果、Unocoinは追加の不正な送金が発生したかどうか、また顧客の保有資産が影響を受けたかどうかをまだ確定できていない。侵害の侵入経路や顧客情報が露出した可能性についても未解明のままである。

8万1000の空のウォレットアドレスへの疑問

停止後、ブロックチェーン調査企業Onchain LensがXへの投稿で、Arkham Intelligence上でUnocoinに帰属される約8万1000のアドレスが合計でゼロドルのポートフォリオ残高を表示していると指摘したことで、さらなる精査が集まっている。

この観察は取引所の準備金について疑問を投げかけたが、8万1000の顧客ウォレットが空にされたことを証明するものではない。Arkhamのトラッキングは、特定の企業に帰属すると識別されたアドレスを対象としており、特に第三者保管業者や未特定のコールドストレージウォレットで維持されている資産など、完全な保管インフラを捉えていない可能性がある。チェーン上のアナリストは、取引所のインシデントの際、資産動向の最初の指標としてインテリジェンスプラットフォーム上のラベル付きアドレスを定期的に調べる。Unocoinは、顧客の負債と現在の暗号資産保有額を照合した包括的なレコンシリエーション(残高調整)を公開していない。

同取引所は以前にも同様のインシデントを経験している。2017年8月、Unocoinは攻撃者がエラーログに記録された不適切に保護されたアクセストークンを悪用して不正なウォレット取引を行ったため、一時的に出金を停止した。同社はその後脆弱性を修正し、運営を再開した。

今回の障害は、以前に侵害された入金アドレスに関わる約1600万ドルの損失をCoinDCXが認めたことに続くもので、インドにおける暗号資産取引所の保管管理について疑問を投げかけたもう一つの事件となった。同国の中央集中型プラットフォームのユーザーにとって、これらの事件により、資金がどこに保管されているか、どのように保護されているか、どれだけ迅速に凍結できるかといった保管体制が、繰り返し精査の対象となっている。

Unocoinは確定的な再開日を発表していない。同社がインフラを再構築し、BitGoとFireblocksとともに残高を検証し、運営再開前にセキュリティチェックを完了する間、顧客のログイン、取引、出金は引き続き利用できない。注目すべき展開としては、11月12日の送金に関するBitGoの調査の結果、Unocoinが公開する顧客負債と現在の保有額の照合、そして同取引所が4〜5営業日という再構築の見通しを守れるかどうかが挙げられる。

ソース: Crypto Adventure