Het Indiase cryptocurrencybeurs Unocoin vermoedt dat het back-upmechanisme van zijn BitGo-multisignature-portemonnee is misbruikt, nadat uitgaande transacties plaatsvonden ondanks een enterprise-accountbevriezing die op 6 november van kracht werd. In een update van 13 november zei de beurs dat de omstreden transacties buiten het platform van BitGo zijn ondertekend en uitgezonden.

BitGo-bevriezing werkte zoals bedoeld, zegt Unocoin

Unocoin signaleerde op 12 november twijfelachtige Ethereum-portemonnee-activiteit en ontving vervolgens toelichting van BitGo. Volgens Unocoin bevestigde BitGo dat de enterprise-accountbevriezing op 6 november van kracht werd. De transacties werden echter extern ondertekend en rechtstreeks op de blockchain uitgezonden, zonder het platform of de tussenkomst van BitGo.

Unocoin vermoedt dat een noodherstelmechanisme van de portemonnee is gebruikt om bij de fondsen te komen. De beurs heeft niet vastgesteld hoe het mechanisme werd benaderd of wie de transacties heeft geautoriseerd. Accountbeperkingen en het ondertekenen van blockchaintransacties zijn afhankelijk van verschillende controles, waardoor een bevriezing op één niveau activiteit op het andere niveau niet per se blokkeert.

Back-ondertekeningsmechanisme wordt onderzocht

De portemonneedocumentatie van BitGo beschrijft een twee-van-drie-ondertekeningssysteem met gebruikers-, back-up- en BitGo-sleutels. Normale transacties vertrouwen op de gebruikers- en BitGo-sleutels, terwijl de back-upsleutel herstel ondersteunt. De documentatie stelt dat twee beschikbare sleutels een transactie kunnen voltooien zonder de standaardondertekeningscombinatie. Juist daarom staan de ondertekeningssleutels, en niet de bevriezing op platformniveau, centraal in het onderzoek: volgens het gedocumenteerde schema kunnen twee van de drie sleutels fondsen rechtstreeks op de blockchain verplaatsen.

Unocoin heeft niet vastgesteld welke sleutels de omstreden transacties hebben ondertekend of hoe de toegang heeft plaatsgevonden. De verklaring bewijst geen inbreuk op het platform van BitGo of een falen van de bevriezing. Er zijn geen transactiehashes, bestemmingsadressen of geverifieerde verliesbedrijven bekendgemaakt.

Op 12 november meldde Unocoin uitgaande transacties vanaf een Ethereum-adres dat wordt gebruikt voor de financiering van ERC-20-tokenactiviteiten. Eerder zei de beurs dat accountbeperkingen en gewijzigde adressen onafhankelijke opsporing bemoeilijkten. De nieuwste toelichting versmalt het vermoede tracé zonder de verliezen te kwantificeren.

Diensten opgeschort terwijl fondsenonderzoek loopt

Unocoin detecteerde op 6 november verdachte infrastructuuractiviteit en vroeg bevriezingen aan bij twee aanbieders. Fireblocks ontving het bevriezingsverzoek om 11:24 UTC, gevolgd door BitGo om 11:29 UTC. Nadat op 9 november opnieuw ongeautoriseerde activiteit werd gedetecteerd, schortte de beurs alle diensten op.

Onderzoekers troffen gecompromitteerde infrastructuur aan, hoewel de hoofdoorzaak onduidelijk blijft. Unocoin is van plan zijn servers opnieuw op te bouwen in plaats van de bestaande omgeving te herstellen, met een geschatte herbouwtijd van vier tot vijf werkdagen, gevolgd door beveiligingscontroles. Die stappen vormen, naast het lopende fondsenonderzoek, de mijlpalen die de beurs heeft gesteld voordat de diensten hervat worden, terwijl de identiteit van de ondertekeningssleutels en de hoofdoorzaak van de gecompromitteerde infrastructuur nog onbekend zijn.

Meer dan 90% van de cryptofondsen van klanten staat in cold storage, een opzet waarbij privésleutels offline worden bewaard in plaats van op met internet verbonden systemen, aldus de beurs. Dat cijfer bewijst niet of andere saldi of klantgegevens zijn blootgesteld. Unocoin neemt de holdings samen met BitGo en Fireblocks door voordat de diensten worden hervat.

Bron: CoinCentral