Indyjska giełda kryptowalut Unocoin zawiesiła wszystkie swoje usługi po włamaniu na serwer, pozostawiając klientów bez dostępu do ich kont, podczas gdy śledczy badają niewyjaśnione transakcje dotyczące infrastruktury depozytowej BitGo platformy. Awaria wyłączyła jedną z najdłużej działających indyjskich giełd kryptowalut i pokazuje, że na platformach scentralizowanych dostęp do środków zależy od infrastruktury i ustaleń depozytowych, których klienci nie mogą bezpośrednio kontrolować.

Firma z Bengaluru wykryła nieautoryzowaną aktywność na swoich serwerach 6 listopada. 9 listopada nastąpiło drugie włamanie, co skłoniło giełdę do wyłączenia systemów. Unocoin początkowo oświadczał, że żadne kryptowaluty klientów nie zostały utracone, jednak aktualizacja bezpieczeństwa opublikowana 12 listopada przyznała, że pełna skala potencjalnie nieautoryzowanych transakcji portfelowych pozostaje nieznana.

Według Unocoin ponad 90% kryptowalut klientów jest przechowywanych w cold storage — standardowym zabezpieczeniu branżowym, mającym utrzymać większość środków offline, poza zasięgiem atakujących na poziomie serwerów. Zamiast prób przywracania skompromitowanych systemów giełda odbudowuje infrastrukturę serwerową, co według jej szacunków ma zająć od czterech do pięciu dni roboczych.

Transakcje BitGo komplikują dochodzenie

Unocoin zarządził awaryjne zamrożenie swoich kont korporacyjnych u depozytariuszy Fireblocks i BitGo wkrótce po wykryciu pierwotnego włamania. Fireblocks otrzymało wniosek 6 listopada o 11:24 UTC, a BitGo pięć minut później. Oba podmioty potwierdziły wprowadzenie ograniczeń, których celem było zablokowanie dalszych transakcji z dotkniętych kont.

Mimo zamrożeń Unocoin odkrył 12 listopada transakcje wychodzące z adresu Ethereum w ramach swojej infrastruktury BitGo, który był wykorzystywany do finansowania transferów tokenów ERC-20 — firma opisała to we wpisie na blogu. BitGo bada te transakcje, a ich autoryzacja, moment i łączna wartość pozostają do ustalenia. Sytuacja odzwierciedla powtarzający się problem w incydentach bezpieczeństwa giełd: gdy aktywa znajdują się u zewnętrznego depozytariusza, dotknięta platforma często zależy od danych i współpracy tego dostawcy, aby odtworzyć przebieg zdarzeń.

Giełda nie ma obecnie dostępu do zamrożonych kont BitGo, aby przejrzeć aktywność. Możliwość samodzielnego odtworzenia historii transakcji ogranicza dodatkowo stosowanie przez BitGo adresów resztowych (change addresses), które mogą utrudniać śledzenie aktywów pomiędzy wieloma portfelami. W rezultacie Unocoin nie ustalił, czy doszło do kolejnych nieautoryzowanych transferów ani czy aktywa klientów zostały dotknięte. Nie wyjaśniono również punktu wejścia włamania ani potencjalnego ujawnienia danych klientów.

Kontrowersje wokół 81 000 pustych adresów portfeli

Zawieszenie działalności przyciągnęło dodatkową uwagę, po tym jak śledczy blockchainowy Onchain Lens zasygnalizował w poście na X około 81 000 adresów przypisanych do Unocoin na Arkham Intelligence, które łącznie wykazywały zerowy saldo portfela.

Obserwacja wzbudziła pytania o rezerwy giełdy, choć nie dowodzi, że 81 000 portfeli klientów zostało opróżnionych. Śledzenie Arkham obejmuje adresy zidentyfikowane jako należące do podmiotu i może nie obejmować pełnej infrastruktury depozytowej, w szczególności aktywów utrzymywanych u zewnętrznych depozytariuszy lub w niezidentyfikowanych portfelach cold storage. Analitycy on-chain rutynowo badają oznaczone adresy na platformach wywiadowczych podczas incydentów giełdowych jako pierwszy wskaźnik ruchu aktywów. Unocoin nie opublikował pełnego uzgodnienia zobowiązań wobec klientów z aktualnie posiadanymi kryptowalutami.

Giełda mierzyła się już wcześniej z podobnym incydentem. W sierpniu 2017 roku Unocoin tymczasowo zawiesił wypłaty po tym, jak atakujący wykorzystali niewłaściwie zabezpieczone tokeny dostępu przechwycone w logach błędów do przeprowadzenia nieautoryzowanych transakcji portfelowych. Firma następnie usunęła lukę i wznowiła działalność.

Najnowsza awaria nastąpiła po przyznaniu się CoinDCX do strat blisko 16 milionów dolarów związanych z wcześniej skompromitowanymi adresami depozytowymi — kolejnym incydencie, który wzbudził pytania o kontrolę depozytową giełd kryptowalut w Indiach. Dla użytkowników scentralizowanych platform w tym kraju te wydarzenia uczyniły z ustaleń depozytowych — gdzie przechowywane są środki, jak są chronione i jak szybko można je zamrozić — powtarzający się punkt skeptycznej analizy.

Unocoin nie ogłosił konkretnej daty wznowienia działalności. Logowanie, handel i wypłaty pozostaną niedostępne, podczas gdy firma odbudowuje infrastrukturę, weryfikuje salda z BitGo i Fireblocks oraz przeprowadza kontrole bezpieczeństwa przed wznowieniem operacji. Na rozwój wydarzeń warto zwracać uwagę: wyniki dochodzenia BitGo w sprawie transferów z 12 listopada, ewentualne uzgodnienie zobowiązań wobec klientów z aktualnymi aktywami publikowane przez Unocoin oraz to, czy giełda dotrzyma szacunku odbudowy wynoszącego cztery do pięciu dni roboczych.

Źródło: Crypto Adventure