BitGo ontkent inbreuk terwijl Unocoin wallettransacties onderzoekt

BitGo zegt dat zijn systemen niet zijn geschaad in het beveiligingsincident dat de Indiase cryptocurrencybeurs Unocoin treft, waarvan de diensten nog steeds zijn opgeschort. De custodian verklaarde dat de omstreden uitgaande transacties waren ondertekend met twee sleutels die Unocoin zelf beheerde, niet door BitGo.

In een verklaring van 13 november legde BitGo uit dat Unocoin een self-custody walletregeling gebruikte waarbij twee van de drie ondertekeningssleutels vereist waren. Unocoin beheerde de gebruikerssleutel en de reservesleutel, terwijl BitGo de derde beheerde. Volgens de beoordeling van BitGo werden de betreffende transacties ondertekend met de twee door Unocoin beheerde sleutels en rechtstreeks onchain uitgezonden, zonder deelname van BitGo.

"De sleutel van BitGo is nooit gebruikt", aldus het bedrijf. Het voegde eraan toe dat geen andere klanten waren getroffen en verwees vragen over klantgelden door naar Unocoin.

Omdat geen van de omstreden transacties de sleutel van BitGo vereiste, benadrukt deze kwestie hoe gedeelde sleutelbewaring de verantwoordelijkheid verdeelt tussen een beurs en zijn infrastructuurleverancier — en waarom de operationele beveiliging van de beurs zelf nu de centrale open vraag is.

Back-upmechanisme onder vuur

Unocoin erkende in zijn eigen incidentupdate van 13 november dat de transacties buiten het platform van BitGo waren ondertekend en uitgezonden. De beurs zei dat een back-upmechanisme dat is ontworpen om toegang tot fondsen te behouden als BitGo onbeschikbaar zou zijn, schijnbaar was misbruikt. Het onderzoekt het mechanisme, samen met mogelijke cryptoverliezen en zorgen rond gegevensprivacy.

Zulke alternatieve ondertekenroutes zijn een standaard kenmerk van bewaringsontwerpen met gedeelde sleutels en geven klanten een onafhankelijke route naar hun assets als een leverancier onbeschikbaar wordt.

Wat de bevriezing van 6 november omvatte

Unocoin zei dat het op 6 november voor het eerst verdachte activiteit opmerkte en bevriezingen aanvroeg van zijn ondernemingsaccounts bij BitGo en Fireblocks, waar saldi werden aangehouden voor dagelijkse transacties. Volgens de beurs bevestigden beide leveranciers dat er geen verdere transacties via hun platforms konden worden gestart. BitGo zei dat zijn bevriezing van 6 november "werkte zoals bedoeld".

De beurs zei dat het op 12 november uitgaande transacties ontdekte vanaf een Ethereum-adres binnen zijn BitGo wallet-infrastructuur. Dat was de ontdekkingstijd; geen van beide bedrijven specificeerde in zijn verklaring wanneer de transacties werden uitgevoerd.

De walletdocumentatie van BitGo stelt dat normale transacties de gebruikerssleutel en de BitGo-sleutel gebruiken, maar dat de reservesleutel kan worden gecombineerd met een van de andere twee. De herstelinstructies beschrijven het ondertekenen en uitzenden van transacties zonder gebruik van BitGo-diensten. In die opzet verwijdert het bevriezen van toegang tot het platform van BitGo niet de afzonderlijke mogelijkheid van de klant om met zijn eigen twee sleutels te ondertekenen. Dat onderscheid verklaart hoe transacties kunnen plaatsvinden zonder deelname van BitGo, al blijft het onduidelijk wie de sleutels gebruikte en wie verantwoordelijk is voor enig verlies.

Klantgelden blijven onderzocht

Unocoin maakte op 9 november ongeautoriseerde servertoegang bekend, schakelde klantlogins uit en zei destijds dat er geen cryptogeld was verloren. De daaropvolgende incidentmelding zei dat het alle diensten had opgeschort nadat die dag verdere ongeautoriseerde activiteit was opgemerkt en dat was vastgesteld dat de infrastructuur was gecompromitteerd.

De beurs bleef gebruikers op 13 november vertellen dat "Er geen gebruikersgelden zijn verloren en dat uw assets veilig blijven." De incidentmelding zei echter dat het nog steeds cryptoverliezen onderzocht en de status van zijn holdings vaststelde. Unocoin zei dat meer dan 90% van de klantcryptocurrency in cold storage werd bewaard, waarbij de ondertekeningssleutels offline en uit de buurt van met internet verbonden systemen blijven. De melding gaf geen bevestigd verliescijfer.

Een momentopname van 12 november van de Unocoin-entiteitspagina op Arkham, een onchain-analyseplatform, vermeldde 80.986 toegeschreven adressen met "geengeprijsde tokenholdings". Die momentopname alleen bewijst geen diefstal, wanneer saldi veranderden of of Unocoin assets buiten die adressenset aanhoudt. Het aantal adressen is ook geen telling van getroffen klanten.

Op 13 november toonde de website van Unocoin een onderhoudsmelding. De beurs schatte dat het herbouwen van zijn serverinfrastructuur vier tot vijf werkdagen zou duren, waarbij beveiligingscontroles vereist waren voordat de diensten zouden hervatten. Het zei dat opnames zouden hervatten en openstaande verzoeken zouden worden verwerkt zodra de diensten waren hersteld, zonder een vaste heropendatum te noemen. Tot die tijd laten de openbaarmakingen duidelijke markeringen zien om in de gaten te houden: een bevestigd verliescijfer, de timing en toeschrijving van de omstreden transacties, en een concrete datum waarop de diensten weer online komen.