BitGo twierdzi, że to nie on był słabym ogniwem w incydencie bezpieczeństwa, który dotknął Unocoin, jedną z najdłużej działających indyjskich giełd kryptowalut. Według dostawcy usług powierniczych giełda podpisała szereg transakcji Ethereum własnymi kluczami użytkownika i zapasowymi, a klucz BitGo nigdy nie został użyty.

To wyjaśnienie przesuwa uwagę śledztwa z depozytariusza z powrotem na samą giełdę. Unocoin zawiesił wszystkie usługi, w tym logowanie użytkowników, podczas gdy stara się ustalić, co poszło nie tak. Odkrycia dostawcy usług powierniczych zostały szczegółowo opisane w raporcie Crypto Briefing.

Tydzień zamrożeń, wyłączeń i oznaczonych transferów

Kłopoty rozpoczęły się 6 listopada 2026 roku, gdy Unocoin wykrył nieautoryzowaną aktywność na swojej platformie i szybko przystąpił do zabezpieczenia systemów.

Giełda poprosiła Fireblocks, dostawcę infrastruktury cyfrowych aktywów dla przedsiębiorstw, o zamrożenie swoich kont korporacyjnych o godz. 11:24 UTC. Pięć minut później, o 11:29 UTC, wysłała tę samą prośbę do BitGo. Oba zamrożenia zostały potwierdzone wkrótce po złożeniu próśb.

Zamrożenia nie zakończyły sprawy. 9 listopada dalsze nieautoryzowane działania zmusiły Unocoin do wyłączenia wszystkich usług na platformie, w tym logowania. Giełda rozpoczęła badanie możliwego przełamania swoich serwerów i poinformowała, że planuje odbudować swoje systemy od zera — zadanie, które jej zdaniem zajmie 4-5 dni roboczych.

Kolejny zwrot akcji nastąpił 12 listopada, gdy Unocoin zauważył wychodzące transakcje Ethereum z infrastruktury portfela BitGo i przekazał te transfery do weryfikacji.

Jak działa portfel 2-z-3 — i dlaczego BitGo wskazuje na klucze

Aby zrozumieć reakcję BitGo, warto wiedzieć, jak został skonfigurowany portfel. Unocoin korzystał z układu multisig 2-z-3, w którym trzema kluczami są klucz użytkownika, klucz zapasowy i klucz BitGo. Do zatwierdzenia transakcji wystarczą dwa podpisy.

Takie konfiguracje są w instytucjonalnym depozytariusstwie powszechne właśnie dlatego, że rozkładają uprawnienia do podpisywania między osobnych posiadaczy, dzięki czemu żadna pojedyncza strona nie może samodzielnie przenieść środków.

To jest sedno ustaleń BitGo. Jego śledztwo, zakończone 13 listopada, wykazało, że jego systemy nie zostały przełamane. Transakcje Ethereum, jak stwierdził BitGo, zostały autoryzowane własnymi kluczami prywatnymi Unocoin — kluczem użytkownika i kluczem zapasowym — bez udziału klucza BitGo.

Według BitGo ustalenia wskazują na możliwe wykorzystanie mechanizmu klucza zapasowego w konfiguracji multisig Unocoin. To wciąż robocza hipoteza, a nie potwierdzone wyjaśnienie, i śledztwo trwa nadal. BitGo poinformował również, że incydent nie dotknął żadnych innych klientów.

Jak sytuacja wygląda dla klientów Unocoin

Stanowisko Unocoin jest takie, że szkody zostały ograniczone. Giełda twierdzi, że ponad 90% aktywów klientów przechowuje w cold storage — portfelach offline, niepodłączonych do internetu — i że jak dotąd nie odnotowano potwierdzonych strat. Przechowywanie większości środków offline to powszechna praktyka wśród giełd: mniejsze saldo online, trzymane w portfelach hot, pokrywa codzienne wypłaty i to właśnie ta podłączona część jest najbardziej narażona, gdy infrastruktura staje się celem ataku.

To twierdzenie współistnieje z mniej pocieszającym przyznaniem: Unocoin przyznaje, że nie ma jeszcze pełnego wglądu w każdą transakcję. Giełda tłumaczy tę lukę złożonością adresów resztowych (change addresses), które przyjmują niewykorzystane środki z transakcji i mogą utrudniać śledzenie pełnej ścieżki przepływu pieniędzy bardziej niż podążanie za pojedynczym transferem.

W międzyczasie klienci nie mogą w ogóle się zalogować, dopóki odbudowa nie zostanie ukończona. Krótkoterminowymi wskaźnikami, na które warto czekać, są to, czy odbudowane systemy wrócą online w szacowanym terminie 4-5 dni roboczych, oraz czy rozliczenie transakcji przez Unocoin zostanie ostatecznie ukończone.

Co to oznacza dla giełd i dostawców usług powierniczych

Powiernictwo multisig osób trzecich opiera się na idei, że klucz depozytariusza stanowi niezależną kontrolę, której klient nie może wykonać samodzielnie. Jeśli dwa z trzech kluczy znajdują się pod kontrolą tej samej organizacji, zabezpieczenie zależy w dużej mierze od tego, jak starannie organizacja je chroni. Przełamany serwer przechowujący lub mający dostęp do obu kluczy mógłby teoretycznie zatwierdzać transakcje bez udziału depozytariusza. Śledztwo ustali, czy do tego doszło.

Większym pytaniem dla traderów jest to, jak giełdy projektują element klucza zapasowego w swoich ustaleniach powierniczych. Jeśli śledztwo potwierdzi, że ten mechanizm został wykorzystany, inne platformy korzystające z podobnych układów 2-z-3 mogą ponownie przeanalizować, gdzie przechowują swoje klucze zapasowe i kto może się do nich dostać.

Jeśli twierdzenie Unocoin o przechowywaniu ponad 90% aktywów klientów w cold storage się potwierdzi, większość środków użytkowników znajdowała się poza hot infrastrukturą, która — jak się wydaje — była celem ataku.

Dopóki Unocoin nie rozliczy każdej wychodzącej transakcji, w tym tych kierowanych przez adresy resztowe, „brak potwierdzonych strat” pozostaje stwierdzeniem o tym, co zostało jak dotąd zweryfikowane, a nie ostatecznym bilansem.