Unocoin сообщила, что криптовалюта покинула один из ее кошельков даже после заморозки счета в BitGo, согласно ее последнему обновлению об эксплойте, которое также было опубликовано в X. Биржа полагает, что для вывода средств был использован резервный путь восстановления в мультисигнатурных кошельках BitGo (NYSE: BTGO), хотя лица, стоявшие за этим, не установлены. Для всех, кто хранит активы у кастодиана, эта последовательность событий — напоминание о том, что подтвержденная кастодианом заморозка сама по себе не перекрывает все пути доступа к средствам.

Как криптовалюта покинула замороженный кошелек?

Unocoin попросила BitGo заморозить корпоративные счета 6 ноября после обнаружения подозрительной активности. В блоге компании говорится, что заморозки начались в 11:24 UTC для Fireblocks и в 11:29 UTC для BitGo. Оба кастодиана подтвердили заморозку, и на тот момент потерь выявлено не было.

Однако 13 ноября Unocoin сообщила, что средства были выведены из кошелька, заморозку которого подтвердил BitGo. Компания заявляет, что мультисигнатурные кошельки BitGo включают резервный путь, предназначенный для того, чтобы клиент мог получить доступ к средствам даже в случае, если BitGo выйдет из строя.

Unocoin сообщает, что этот путь, «как оказалось, был использован злоумышленниками», и что сейчас компания проверяет, как к нему получили доступ и как его использовали.

Документация самой BitGo, напротив, указывает на ее клиентов. Ее Wallet Recovery Wizard позволяет клиентам выводить активы из своих кошельков «без BitGo», используя пользовательский ключ и резервный ключ для перевода средств на новый адрес. В документах BitGo говорится, что такие транзакции восстановления «обходят любые политики, действующие в ваших отношениях с BitGo». Для работы мастера восстановления требуются резервный открытый ключ, пользовательский открытый ключ, парольная фраза кошелька, а также либо открытый ключ BitGo, либо адрес кошелька.

Кто виноват в потере криптовалюты Unocoin?

Unocoin не назвала, кто контролировал ключ, и не указала, сколько криптовалюты было потеряно. Однако компания подтвердила, что более 90% криптовалюты клиентов находится в холодном хранении.

После приостановки всех сервисов 9 ноября Unocoin отследила исходящие транзакции с адреса Ethereum в своих кошельках BitGo, и к 12 ноября выяснила, что этот адрес использовался для финансирования ERC-20 токенов. Unocoin заявляет, что настройка адресов сдачи (change-address) в BitGo затрудняет восстановление полной истории транзакций. Компания сейчас восстанавливает весь свой серверный стек, что, по ее ожиданиям, займет четыре-пять рабочих дней. Именно эти направления — кто контролировал ключ, сколько криптовалюты было выведено и что выявит восстановленный серверный стек — отслеживаются в обновлениях Unocoin о ходе расследования.

Также 12 ноября около 80 986 адресов, связанных с Unocoin, в Arkham Intelligence показали нулевую суммарную стоимость. Однако в том же отчете говорилось, что за последний месяц на помеченных кошельках находилось в лучшем случае лишь несколько сотен долларов, а трехмесячный пик составлял чуть более 250 000 долларов.

В ситуации, схожей со спором между BitGo и Unocoin, WazirX и его партнер по хранению Liminal месяцами обвиняли друг друга после взлома WazirX на 234 миллиона долларов в июле 2024 года. Liminal утверждала, что все транзакции исходили со стороны ее клиента, в то время как WazirX настаивал, что потери были вызваны сбоем на платформе Liminal, как сообщалось в то время. В обоих случаях нерешенным остается вопрос, чьи ключи или системы запустили вывод средств — тот же пункт, который, по словам Unocoin, она все еще расследует в отношении собственных потерь.

Отдельно BitGo недавно опубликовала результаты за третий квартал. Компания зафиксировала чистую прибыль в размере 44,1 миллиона долларов, обусловленную ростом стоимости ее казначейства цифровых активов; согласно отчету, нереализованная прибыль составила 71,5 миллиона долларов.