Crypto-beurs Unocoin, een in India gevestigd handelsplatform voor cryptocurrency, zei op 13 november dat de omstreden wallettransfers buiten BitGo om waren ondertekend en uitgezonden, een institutionele aanbieder van digitale-activa-custody, terwijl de freeze op het BitGo-enterpriseaccount tot dat moment naar behoren had gefunctioneerd.

De beurs schortte op 9 november al haar diensten op nadat aanvullende ongeautoriseerde activiteit was vastgesteld. Eerder had het freezes aangevraagd op zijn enterpriseaccounts bij zowel BitGo als Fireblocks, een onderneming voor institutionele digitale-activa-infrastructuur, nadat de activiteit op 6 november voor het eerst was opgemerkt. Voor klanten betekent een volledige opschorting dat handel en opnames niet beschikbaar zijn totdat de beurs de activiteiten hervat.

In een update over het incident zei Unocoin dat een back-upmechanisme, ontworpen om toegang tot fondsen te waarborgen in het geval BitGo onbeschikbaar zou raken, lijkt te zijn misbruikt. Het bedrijf onderzoekt nog hoe dat mechanisme is gebruikt, de omvang van de cryptoverliezen en een mogelijke blootstelling van informatie.

Twee routes naar een wallet-handtekening

De walletdocumentatie van BitGo beschrijft een structuur met drie sleutels: de gebruikerssleutel, de back-upsleutel en de BitGo-sleutel. Normale transacties gebruiken de gebruikers- en BitGo-sleutel om te voldoen aan een ondertekeningsvereiste van twee van de drie. De back-upsleutel kan echter worden gecombineerd met een van de andere twee sleutels.

Het verdelen van ondertekeningsbevoegdheid over meerdere sleutels is een hoeksteen van institutionele crypto-custody, omdat het voorkomt dat één sleutelhouder eenzijdig fondsen kan verplaatsen.

Het combineren van de back-upsleutel met de gebruikerssleutel creëert een ondertekeningsroute die de BitGo-sleutel niet vereist, en de vereiste van twee van de drie geldt nog steeds in die herstelregeling. Wat verandert, is welk paar sleutels wordt gebruikt om daaraan te voldoen: de gebruikers- en back-upsleutel vervangen de gebruikelijke combinatie van gebruiker en aanbieder, waardoor BitGo volledig buiten het ondertekeningsproces valt.

BitGo erkent deze beperking in zijn documentatie over opnamebeleid, met de kanttekening dat dergelijk beleid alleen van toepassing is op transacties waarbij BitGo betrokken is. Hersteltransacties die met de gebruikers- en back-upsleutel worden ondertekend, omzeilen het beleid dat bij de aanbieder is ingesteld.

Deze herstelmogelijkheid waarborgt toegang tot fondsen wanneer de aanbieder onbeschikbaar is, en helpt verklaren waarom een accountfreeze niet kan worden beschouwd als een alomvattende beperking op elke transactie die de sleutels van de wallet kunnen ondertekenen.

Lopend onderzoek

Unocoin meldde op 12 november uitgaande transacties te hebben geconstateerd vanaf een Ethereum-adres binnen zijn BitGo-walletinfrastructuur dat werd gebruikt om ERC-20-tokens te financieren, activa die op Ethereum zijn uitgegeven onder een veelgebruikte tokenstandaard. De uitleg van 13 november schrijft de omstreden activiteit toe aan externe ondertekening, terwijl het vermoede misbruik van back-uptoegang nog wordt onderzocht.

In zijn rapport van 12 november zei Unocoin dat meer dan 90% van de cryptofondsen van klanten in cold storage werd bewaard, wat betekent dat privésleutels worden bewaard op systemen die niet met internet zijn verbonden. Het bedrijf was nog bezig de volledige status van zijn holdings en mogelijke blootstelling vast te stellen, dus die verklaring is niet bepalend voor de schadebeoordeling.

Volgens de laatste update van Unocoin wordt gewerkt aan het herstel van de diensten. Onopgeloste vragen zijn onder meer hoe de vermoede herstelroute werd benaderd, welke verliezen of blootstelling van informatie het gevolg zijn en wanneer de diensten kunnen worden hervat.