Unocoin informuje, że kryptowaluty opuściły jeden z jego portfeli nawet po zamrożeniu konta w BitGo, według jego najnowszej aktualizacji dotyczącej exploitu, którą udostępniono również na X. Giełda uważa, że do przeniesienia środków wykorzystano zapasową ścieżkę odzyskiwania w portfelach wielopodpisowych BitGo (NYSE: BTGO), choć nie ustaliła, kto stał za tym ruchem. Dla każdego, kto przechowuje aktywa u depozytariusza, ta sekwencja zdarzeń przypomina, że zamrożenie potwierdzone po stronie depozytariusza samo w sobie nie zamyka każdej drogi do środków.

Jak kryptowaluty opuściły zamrożony portfel?

Unocoin poprosił BitGo o zamrożenie kont firmowych 6 listopada po wykryciu podejrzanej aktywności. Jak podaje na blogu, blokady rozpoczęły się o 11:24 UTC w przypadku Fireblocks i o 11:29 UTC w przypadku BitGo. Obaj depozytariusze potwierdzili zamrożenia, a w tym momencie nie stwierdzono żadnych strat.

Jednak 13 listopada Unocoin poinformował, że jego środki zostały wypłacone z portfela, którego zamrożenie BitGo potwierdził. Firma podaje, że portfele wielopodpisowe BitGo zawierają zapasową ścieżkę zaprojektowaną tak, aby klient mógł uzyskać dostęp do środków nawet wtedy, gdy BitGo jest niedostępny.

Unocoin podaje, że ta ścieżka „wygląda na wykorzystaną” i że obecnie sprawdza, w jaki sposób uzyskano do niej dostęp i jak ją użyto.

Dokumentacja samego BitGo wskazuje raczej na jego klientów. Wallet Recovery Wizard pozwala klientom wydobyć aktywa ze swoich portfeli „bez BitGo”, używając klucza użytkownika i klucza zapasowego do przeniesienia środków na nowy adres. Dokumentacja BitGo stanowi, że takie transakcje odzyskiwania „ominą wszelkie polityki zawarte z BitGo”. Aby kreator odzyskiwania działał, wymaga zapasowego klucza publicznego, klucza publicznego użytkownika, hasła portfela oraz albo klucza publicznego BitGo, albo adresu portfela.

Kto ponosi odpowiedzialność za utratę kryptowalut Unocoin?

Unocoin nie ujawnił, kto kontrolował klucz, ani nie określił, ile kryptowalut utracono. Firma potwierdziła jednak, że ponad 90% kryptowalut klientów przechowywanych jest w zimnym magazynie.

Po zawieszeniu wszystkich usług 9 listopada Unocoin prześledził transakcje wychodzące z adresu Ethereum w swoich portfelach BitGo, a do 12 listopada ustalił, że ten adres był używany do finansowania tokenów ERC-20. Unocoin podaje, że konfiguracja adresów zmiany (change-address) w BitGo utrudnia odtworzenie pełnej historii transakcji. Firma obecnie odbudowuje całą swoją infrastrukturę serwerową, co według jej szacunków zajmie od czterech do pięciu dni roboczych. Te wątki — kto kontrolował klucz, ile kryptowalut przepłynęło i co ujawni odbudowana infrastruktura serwerowa — są śledzone w aktualizacjach postępów Unocoin.

Również 12 listopada około 80 986 adresów powiązanych z Unocoin na Arkham Intelligence wykazywało łączną wartość zero. Ten sam raport podawał jednak, że te oznaczone portfele przechowywały w ostatnim miesiącu co najwyżej setki dolarów, a trzymiesięczny szczyt wyniósł nieco ponad 250 000 dolarów.

W sytuacji podobnej do sporu BitGo–Unocoin WazirX i jego partner depozytowy Liminal miesiącami obwiniali się wzajemnie po haku na WazirX o wartości 234 milionów dolarów w lipcu 2024 roku. Liminal twierdził, że wszystkie transakcje pochodziły od jego klienta, podczas gdy WazirX argumentował, że strata wynikła z usterki platformy Liminal, jak wówczas donoszono. W obu przypadkach nierozstrzygniętym pytaniem jest, czyje klucze lub systemy uruchomiły wypływy środków — tej samej kwestii, jak podaje Unocoin, firma nadal dochodzi w przypadku własnej straty.

Osobno BitGo niedawno opublikował wyniki za trzeci kwartał. Firma odnotowała zysk netto w wysokości 44,1 miliona dolarów, napędzany wzrostem wartości swojego skarbca aktywów cyfrowych, a raport określa niezrealizowany zysk na 71,5 miliona dolarów.