Индийская криптовалютная биржа Unocoin подозревает, что резервный механизм ее мультиподписного кошелька BitGo был использован злоумышленниками после того, как исходящие транзакции были совершены, несмотря на корпоративную блокировку аккаунта, вступившую в силу 6 ноября. В обновлении от 13 ноября биржа сообщила, что спорные транзакции были подписаны и отправлены вне платформы BitGo.

Unocoin: блокировка BitGo сработала как задумано

Unocoin выявила подозрительную активность кошелька Ethereum 12 ноября и впоследствии получила разъяснения от BitGo. По словам Unocoin, BitGo подтвердила, что корпоративная блокировка аккаунта вступила в силу 6 ноября. Однако транзакции были подписаны извне и отправлены в блокчейн напрямую без участия платформы BitGo.

Unocoin подозревает, что для доступа к средствам был использован механизм экстренного восстановления кошелька. Биржа не установила, как был получен доступ к механизму и кто авторизовал переводы. Ограничения аккаунта и подпись блокчейн-транзакций зависят от разных механизмов контроля, то есть блокировка на одном уровне не обязательно блокирует активность на другом.

Расследование резервного механизма подписи

Документация кошельков BitGo описывает систему подписи «два из трех» с использованием ключей пользователя, резервного ключа и ключа BitGo. Обычные транзакции опираются на ключи пользователя и BitGo, тогда как резервный ключ поддерживает восстановление. В документации указано, что два доступных ключа могут завершить транзакцию без стандартной комбинации подписи. Именно эта конструкция объясняет, почему в центре расследования находятся ключи подписи, а не блокировка на уровне платформы: согласно задокументированной схеме, любые два из трех ключей могут переместить средства напрямую в блокчейн.

Unocoin не установила, какие ключи подписали спорные транзакции и как произошел доступ. Ее заявление не подтверждает взлом платформы BitGo или сбой блокировки. Хэши транзакций, адреса назначения или подтвержденный размер потерь раскрыты не были.

12 ноября Unocoin сообщила об исходящих переводах с адреса Ethereum, использовавшегося для обеспечения операций с токенами ERC-20. Ранее биржа заявляла, что ограничения аккаунта и изменение адресов затрудняют независимое отслеживание. Последнее разъяснение сужает предполагаемый маршрут, не определяя размер потерь.

Сервисы приостановлены, проверка средств продолжается

Unocoin выявила подозрительную активность в инфраструктуре 6 ноября и запросила блокировки у двух провайдеров. Fireblocks получил запрос на блокировку в 11:24 UTC, за ним BitGo — в 11:29 UTC. После обнаружения дополнительной несанкционированной активности 9 ноября биржа приостановила все сервисы.

Исследователи обнаружили скомпрометированную инфраструктуру, хотя первопричина остается неясной. Unocoin планирует перестроить серверы, а не восстанавливать существующую среду, оценивая срок перестройки в четыре-пять рабочих дней с последующими проверками безопасности. Эти шаги, наряду с продолжающейся проверкой средств, определяют этапы, которые биржа установила перед возобновлением сервисов, при этом личности ключей подписи и первопричина компрометации инфраструктуры остаются неизвестными.

Более 90% криптовалютных средств клиентов остаются в холодном хранении — конфигурации, при которой приватные ключи хранятся офлайн, а не на подключенных к интернету системах, сообщила биржа. Эта цифра не позволяет установить, были ли раскрыты другие балансы или данные клиентов. Unocoin сверяет активы с BitGo и Fireblocks перед восстановлением сервисов.

Источник: CoinCentral