BitGo zegt dat het niet de zwakke schakel was in het securityincident bij Unocoin, een van de langst actieve cryptocurrencybeurzen van India. Volgens de custodian heeft de beurs een reeks Ethereum-transacties ondertekend met de eigen user- en backupkeys, terwijl de sleutel van BitGo nooit is gebruikt.

Die verduidelijking verschuift de focus van het onderzoek van de custodian naar de beurs zelf. Unocoin heeft alle diensten opgeschort, inclusief het inloggen van gebruikers, terwijl het probeert vast te stellen wat er is misgegaan. De bevindingen van de custodian zijn beschreven in een rapport van Crypto Briefing.

Een week van bevriezingen, stillegingen en gemarkeerde transacties

De problemen begonnen op 6 november 2026, toen Unocoin ongeautoriseerde activiteit op zijn platform detecteerde en snel in actie kwam om alles af te sluiten.

De beurs vroeg Fireblocks, een aanbieder van digitale asset-infrastructuur voor bedrijven, om 11:24 UTC zijn zakelijke accounts te bevriezen. Vijf minuten later, om 11:29 UTC, stuurde het hetzelfde verzoek naar BitGo. Beide bevriezingen werden kort na de verzoeken bevestigd.

De bevriezingen maakten geen einde aan het incident. Op 9 november dwongen verdere ongeautoriseerde acties Unocoin om elke dienst op het platform stil te leggen, inclusief het inloggen. De beurs begon een mogelijk gecompromitteerde servers te onderzoeken en meldde dat het zijn systemen van scratch wilde herbouwen, een klus die naar schatting 4-5 werkdagen zou duren.

Op 12 november volgde een nieuwe wending, toen Unocoin uitgaande Ethereum-transacties opmerkte vanuit zijn BitGo-walletinfrastructuur en die transacties doorstuurde voor onderzoek.

Hoe een 2-van-3-wallet werkt — en waarom BitGo naar de sleutels wijst

Om de reactie van BitGo te begrijpen, helpt het om te weten hoe de wallet was ingericht. Unocoin gebruikte een 2-van-3-multisigopzet waarbij de drie sleutels een usersleutel, een backsleutel en de sleutel van BitGo zijn. Twee handtekeningen zijn voldoende om een transactie goed te keuren.

Dergelijke opzetten zijn juist gangbaar in institutionele custodianship omdat ze de bevoegdheid om te ondertekenen verdelen over afzonderlijke houders, zodat geen enkele partij zelfstandig gelden kan verplaatsen.

Dat is de kern van de bevinding van BitGo. Het onderzoek, afgerond op 13 november, concludeerde dat zijn systemen niet waren gebroken. De Ethereum-transacties, aldus BitGo, waren geautoriseerd met de eigen privésleutels van Unocoin — de usersleutel en de backsleutel — terwijl de sleutel van BitGo nooit betrokken was.

De bevindingen wijzen volgens BitGo op een mogelijk misbruik van het backupkey-mechanisme binnen de multisigopzet van Unocoin. Dat blijft een werkende theorie in plaats van een bevestigde verklaring, en het onderzoek loopt nog. BitGo meldde ook dat geen andere klanten door het incident zijn getroffen.

Waar de klanten van Unocoin staan

Unocoin stelt dat de schade beperkt is. De beurs zegt dat het meer dan 90% van de klantassets in cold storage bewaart — offline wallets die niet met het internet verbonden zijn — en dat er tot nu toe geen bevestigde verliezen zijn. Het merendeel van de fondsen offline houden is een gangbare praktijk onder beurzen: het kleinere online saldo, gehouden in hot wallets, dekt de dagelijkse opnames, en juist dat verbonden deel is het meest blootgesteld wanneer de infrastructuur wordt aangevallen.

Die claim staat naast een minder geruststellende toejeging: Unocoin zegt nog niet volledig zicht te hebben op elke transactie. De beurs wijst dat hiaat aan de complexiteit van change-adressen, die restfondsen van een transactie ontvangen en het volgen van het volledige geldpad ingewikkelder kunnen maken dan het volgen van een enkele overboeking.

Ondertussen kunnen klanten helemaal niet inloggen totdat de herbouw is afgerond. De belangrijkste markers op korte termijn zijn of de herbouwde systemen binnen de geschatte 4-5 werkdagen weer online komen en of de transactieverantwoording van Unocoin uiteindelijk wordt afgerond.

Wat dit betekent voor beurzen en custodians

Multisig-custodianship door derden is gebouwd op het idee dat de sleutel van de custodian fungeert als een onafhankelijke controle die de klant niet zelf kan uitoefenen. Als twee van de drie sleutels onder controle van dezelfde organisatie staan, hangt de beveiliging sterk af van hoe zorgvuldig die organisatie ze beschermt. Een gecompromitteerde server die beide sleutels bewaart of kan gebruiken, zou in theorie transacties kunnen goedkeuren zonder tussenkomst van de custodian. Het onderzoek moet uitwijzen of dat hier is gebeurd.

De grotere vraag voor handelaren is hoe beurzen het backupkey-onderdeel van hun custody-regelingen ontwerpen. Als het onderzoek bevestigt dat het mechanisme is misbruikt, kunnen andere platforms met vergelijkbare 2-van-3-opzetten opnieuw bekijken waar hun backupsleutels staan en wie er toegang toe heeft.

Als de claim van Unocoin dat meer dan 90% van de klantassets in cold storage staat standhoudt, bevond het merendeel van de gebruikersfondsen zich buiten de hot-infrastructure die lijkt te zijn aangevallen.

Totdat Unocoin elke uitgaande transactie kan verantwoorden, inclusief die via change-adressen lopen, blijft "geen bevestigde verliezen" een uitspraak over wat tot nu toe is geverifieerd, geen eindbalans.