Indyjska giełda kryptowalut Unocoin podejrzewa, że mechanizm kopii zapasowej jej portfela multisignature BitGo został wykorzystany, ponieważ transakcje wychodzące nastąpiły mimo blokady konta Enterprise wprowadzonej 6 listopada. W aktualizacji z 13 listopada giełda podała, że sporne transakcje zostały podpisane i nadane poza platformą BitGo.

Blokada BitGo zadziałała zgodnie z przeznaczeniem, mówi Unocoin

Unocoin wykrył wątpliwą aktywność portfela Ethereum 12 listopada i następnie otrzymał wyjaśnienia od BitGo. Według Unocoinu BitGo potwierdziło, że blokada konta Enterprise weszła w życie 6 listopada. Transakcje zostały jednak podpisane zewnętrznie i nadane bezpośrednio do blockchaina bez udziału i za pośrednictwem platformy BitGo.

Unocoin podejrzewa, że do uzyskania dostępu do środków wykorzystano awaryjny mechanizm odzyskiwania portfela. Giełda nie ustaliła, jak uzyskano dostęp do mechanizmu ani kto autoryzował transfery. Ograniczenia na koncie i podpisywanie transakcji blockchain zależą od różnych mechanizmów kontroli, co oznacza, że blokada na jednym poziomie niekoniecznie zatrzymuje aktywność na drugim.

Badany jest mechanizm podpisywania kopii zapasowej

Dokumentacja portfeli BitGo opisuje system podpisywania dwa z trzech, wykorzystujący klucze użytkownika, kopii zapasowej oraz BitGo. Zwykłe transakcje opierają się na kluczach użytkownika i BitGo, natomiast klucz kopii zapasowej służy do odzyskiwania. Dokumentacja stanowi, że dwa dostępne klucze mogą sfinalizować transakcję bez standardowej kombinacji podpisów. Właśnie dlatego to klucze podpisujące, a nie blokada na poziomie platformy, znajdują się w centrum dochodzenia: zgodnie z opisanym schematem dowolne dwa z trzech kluczy mogą przenosić środki bezpośrednio do blockchaina.

Unocoin nie ustalił, które klucze podpisały sporne transakcje ani jak doszło do uzyskania dostępu. Oświadczenie giełdy nie potwierdza naruszenia platformy BitGo ani awarii blokady. Nie ujawniono skrótów transakcji, adresów docelowych ani zweryfikowanej wysokości strat.

12 listopada Unocoin zgłosił transfery wychodzące z adresu Ethereum używanego do finansowania operacji tokenów ERC-20. Wcześniej giełda podała, że ograniczenia konta i zmienione adresy utrudniały niezależne śledzenie. Najnowsze wyjaśnienia zawężają podejrzewaną ścieżkę, nie określając jednak wysokości strat.

Usługi zawieszone w trakcie przeglądu środków

Unocoin wykrył podejrzaną aktywność infrastruktury 6 listopada i złożył wnioski o blokadę u dwóch dostawców. Fireblocks otrzymał wniosek o blokadę o 11:24 UTC, a BitGo o 11:29 UTC. Po wykryciu dodatkowej nieautoryzowanej aktywności 9 listopada giełda zawiesiła wszystkie usługi.

Śledczy stwierdzili naruszenie infrastruktury, choć przyczyna źródłowa pozostaje nieznana. Unocoin planuje odbudować serwery zamiast przywracać istniejące środowisko i szacuje, że odbudowa zajmie cztery-pięć dni roboczych, po których nastąpią kontrole bezpieczeństwa. Te kroki, wraz z trwającym przeglądem środków, wyznaczają punkty, które giełda ustaliła przed wznowieniem usług — przy czym tożsamość kluczy podpisujących i przyczyna naruszenia infrastruktury pozostają niewyjaśnione.

Ponad 90% kryptowalut klientów pozostaje w zimnym magazynie, czyli w konfiguracji przechowującej klucze prywatne offline, a nie w systemach podłączonych do internetu — według giełdy. Liczba ta nie przesądza, czy inne salda lub dane klientów zostały ujawnione. Unocoin przegląda aktywa wspólnie z BitGo i Fireblocks przed wznowieniem usług.

Źródło: CoinCentral