Giełda kryptowalut Unocoin, indyjska platforma handlu kryptowalutami, poinformowała 13 listopada, że sporne transfery z portfeli zostały podpisane i rozesłane poza BitGo, instytucjonalnym dostawcą usług powierzenia aktywów cyfrowych, przy czym blokada konta enterprise w BitGo działała do tego momentu zgodnie z przeznaczeniem.

Giełda wstrzymała wszystkie swoje usługi 9 listopada po wykryciu dodatkowej nieautoryzowanej aktywności. Wcześniej wniosła o zablokowanie swoich kont enterprise zarówno w BitGo, jak i w Fireblocks, firmie zajmującej się infrastrukturą aktywów cyfrowych dla przedsiębiorstw, po tym jak po raz pierwszy zauważyła tę aktywność 6 listopada. Dla klientów pełne wstrzymanie oznacza, że handel i wypłaty pozostają niedostępne do czasu wznowienia działalności giełdy.

W aktualizacji dotyczącej incydentu Unocoin oświadczył, że mechanizm zapasowy zaprojektowany w celu zachowania dostępu do środków na wypadek niedostępności BitGo najwyraźniej został wykorzystany. Firma nadal bada, jak wykorzystano ten mechanizm, skalę strat w kryptowalutach oraz ewentualne ujawnienie informacji.

Dwie drogi do podpisu portfela

Dokumentacja portfeli BitGo opisuje strukturę trzech kluczy: klucz użytkownika, klucz zapasowy i klucz BitGo. Zwykłe transakcje wykorzystują klucz użytkownika i klucz BitGo, aby spełnić wymóg podpisu dwóch z trzech. Klucz zapasowy może jednak być sparowany z każdym z pozostałych dwóch kluczy.

Podział uprawnień do podpisywania między wieloma kluczami jest podstawą instytucjonalnego powierzenia kryptowalut, ponieważ uniemożliwia jednemu posiadaczowi klucza samodzielne przenoszenie środków.

Sparowanie klucza zapasowego z kluczem użytkownika tworzy ścieżkę podpisywania, która nie wymaga klucza BitGo, a wymóg dwóch z trzech nadal obowiązuje w tym układzie odzyskiwania. Zmienia się to, która para kluczy jest używana do jego spełnienia: klucze użytkownika i zapasowy zastępują zwykłe połączenie użytkownika i dostawcy, całkowicie wyłączając BitGo z procesu podpisywania.

BitGo przyznaje to ograniczenie w dokumentacji polityk wypłat, zaznaczając, że polityki te dotyczą wyłącznie transakcji obejmujących BitGo. Transakcje odzyskiwania podpisane kluczem użytkownika i kluczem zapasowym omijają polityki skonfigurowane u dostawcy.

Ta możliwość odzyskiwania zachowuje dostęp do środków, gdy dostawca jest niedostępny, i pomaga wyjaśnić, dlaczego blokada konta nie może być traktowana jako całkowite ograniczenie wszystkich transakcji, które klucze portfela mogą podpisać.

Trwające dochodzenie

Unocoin poinformował, że 12 listopada zidentyfikowano transakcje wychodzące z adresu Ethereum w ramach infrastruktury portfeli BitGo, który był używany do finansowania tokenów ERC-20, czyli aktywów emitowanych na Ethereum zgodnie z powszechnie stosowanym standardem tokenów. Wyjaśnienie z 13 listopada przypisuje sporną aktywność podpisywaniu zewnętrznemu, a podejrzewane niewłaściwe wykorzystanie dostępu zapasowego pozostaje przedmiotem dochodzenia.

W raporcie z 12 listopada Unocoin oświadczył, że ponad 90% środków kryptowalutowych klientów było przechowywanych w zimnym magazynie, co oznacza, że klucze prywatne są przechowywane w systemach niepodłączonych do internetu. Firma nadal ustalała pełny stan posiadania i potencjalne narażenie, więc to oświadczenie nie rozstrzyga oceny strat.

Według najnowszej aktualizacji Unocoin prace nad przywróceniem usług trwają. Nierozwiązane kwestie obejmują sposób uzyskania dostępu do podejrzewanej ścieżki odzyskiwania, wynikłe straty lub ujawnienie informacji oraz termin wznowienia usług.