BitGo zaprzecza włamaniu, gdy Unocoin bada nieautoryzowane transfery z portfeli

BitGo oświadcza, że jej systemy nie zostały naruszone w incydencie bezpieczeństwa dotykającym indyjskiej giełdy kryptowalut Unocoin, której usługi pozostają zawieszone. Depozytariusz stwierdził, że kwestionowane transfery wychodzące zostały podpisane dwoma kluczami przechowywanymi przez samą Unocoin, a nie przez BitGo.

W oświadczeniu z 13 listopada BitGo wyjaśniła, że Unocoin korzystała z układu portfela samozarządzanego wymagającego dwóch z trzech kluczy podpisujących. Unocoin przechowywała klucz użytkownika i klucz zapasowy, a BitGo posiadała trzeci. Według analizy BitGo kwestionowane transfery zostały podpisane dwoma kluczami przechowywanymi przez Unocoin i rozesłane bezpośrednio do blockchainu, bez udziału BitGo.

„Klucz BitGo nie został nigdy użyty”, oświadczyła firma. Dodała, że żaden inny klient nie ucierpiał, a pytania dotyczące środków klientów odesłała do Unocoin.

Ponieważ żaden z kwestionowanych transferów nie wymagał klucza BitGo, sprawa pokazuje, jak depozyt oparty na współdzielonych kluczach dzieli odpowiedzialność między giełdą a dostawcą infrastruktury — i dlaczego własne bezpieczeństwo operacyjne giełdy jest teraz centralnym otwartym pytaniem.

Mechanizm zapasowy pod lupą

Unocoin, we własnej aktualizacji dotyczącej incydentu z 13 listopada, przyznała, że transakcje zostały podpisane i rozesłane poza platformą BitGo. Giełda oświadczyła, że mechanizm zapasowy, mający zachować dostęp do środków w przypadku niedostępności BitGo, najwyraźniej został wykorzystany. Bada ten mechanizm, a także potencjalne straty w kryptowalutach i kwestie prywatności informacji.

Takie awaryjne ścieżki podpisywania to standardowy element konstrukcji depozytu ze współdzielonymi kluczami, dający klientom niezależną drogę do ich aktywów, jeśli dostawca stanie się niedostępny.

Czego dotyczyło zamrożenie z 6 listopada

Unocoin poinformowała, że po raz pierwszy wykryła podejrzaną aktywność 6 listopada i zawnioskowała o zamrożenie swoich kont korporacyjnych w BitGo i Fireblocks, które przechowywały salda używane do bieżących transakcji. Według giełdy obaj dostawcy potwierdzili, że przez ich platformy nie można było zainicjować dalszych transakcji. BitGo oświadczyła, że jej zamrożenie z 6 listopada „działało zgodnie z przeznaczeniem”.

Giełda oświadczyła, że 12 listopada wykryła transakcje wychodzące z adresu Ethereum w ramach infrastruktury portfela BitGo. To była data wykrycia; żadna z firm nie określiła w swoich oświadczeniach czasu wykonania transferów.

Dokumentacja portfela BitGo stanowi, że zwykłe transakcje używają klucza użytkownika i klucza BitGo, ale klucz zapasowy można sparować z każdym z pozostałych dwóch. Instrukcje odzyskiwania opisują podpisywanie i rozsyłanie transakcji bez korzystania z usług BitGo. W takim układzie zamrożenie dostępu do platformy BitGo nie odbiera klientowi odrębnej możliwości podpisywania własnymi dwoma kluczami. To rozróżnienie wyjaśnia, jak transfery mogą nastąpić bez udziału BitGo, choć nie przesądza, kto użył kluczy ani kto ponosi odpowiedzialność za ewentualne straty.

Środki klientów nadal pod przeglądem

Unocoin ujawniła nieautoryzowany dostęp do serwerów 9 listopada, wyłączyła logowanie klientów i oświadczyła wówczas, że żadne środki w kryptowalutach nie zostały utracone. Kolejne powiadomienie o incydencie podało, że zawiesiła wszystkie usługi po wykryciu tego samego dnia dalszej nieautoryzowanej aktywności i ustaliła, że jej infrastruktura została skompromitowana.

Giełda nadal informowała użytkowników 13 listopada, że „Żadne środki użytkowników nie zostały utracone, a Wasze aktywa pozostają bezpieczne”. Jej powiadomienie o incydencie stwierdzało jednak, że nadal bada straty w kryptowalutach i ustala stan swoich zasobów. Unocoin oświadczyła, że ponad 90% kryptowalut klientów znajduje się w zimnym magazynie, który trzyma klucze podpisujące offline, z dala od systemów podłączonych do internetu. Powiadomienie nie podało potwierdzonej kwoty strat.

Migawka z 12 listopada strony podmiotu Unocoin na Arkham, platformie analityki onchain, wymieniała 80 986 przypisanych adresów z „brakiem wycenianych zasobów tokenów”. Sama ta migawka nie przesądza o kradzieży, o tym, kiedy salda się zmieniły, ani czy Unocoin posiada aktywa poza tym zbiorem adresów. Liczba adresów nie jest też liczbą dotkniętych klientów.

13 listopada na stronie internetowej Unocoin wyświetlało się powiadomienie serwisowe. Giełda oszacowała, że odbudowa infrastruktury serwerowej zajmie od czterech do pięciu dni roboczych, a przed wznowieniem usług wymagane będą kontrole bezpieczeństwa. Oświadczyła, że wypłaty zostaną wznowione, a oczekujące wnioski przetworzone po przywróceniu usług, nie podając stałej daty wznowienia. Do tego czasu ujawnienia pozostawiają wyraźne punkty do obserwacji: potwierdzoną kwotę strat, czas i atrybucję kwestionowanych transferów oraz konkretną datę powrotu usług online.