Индийская криптобиржа Unocoin приостановила все свои сервисы после взлома сервера, оставив клиентов без доступа к своим счетам, пока следователи изучают необъяснимые транзакции, связанные с инфраструктурой кастодиального обслуживания BitGo. Сбой вывел из строя одну из старейших криптобирж Индии и подчеркивает, что на централизованных платформах доступ к средствам зависит от инфраструктуры и кастодиальных механизмов, которые клиенты не контролируют напрямую.

Компания из Бангалора обнаружила несанкционированную активность на своих серверах 6 ноября. Второе вторжение произошло 9 ноября, после чего биржа остановила свои системы. Unocoin первоначально заявила, что средства клиентов не были потеряны, однако в обновлении по вопросам безопасности, опубликованном 12 ноября, было признано, что полный масштаб потенциально несанкционированных транзакций с кошельками остается неизвестным.

По данным Unocoin, более 90% средств клиентов хранится в холодном хранилище — стандартной отраслевой мере защиты, призванной держать основную часть средств в офлайне, вне досягаемости атакующих на уровне серверов. Вместо попыток восстановить скомпрометированные системы биржа заново разворачивает серверную инфраструктуру — процесс, который, как ожидается, займет от четырех до пяти рабочих дней.

Транзакции BitGo осложняют расследование

Вскоре после обнаружения первоначального взлома Unocoin запросила экстренную блокировку своих корпоративных счетов у кастодианов Fireblocks и BitGo. Fireblocks получила запрос 6 ноября в 11:24 UTC, а BitGo — пять минут спустя. Оба кастодиана подтвердили ограничения, призванные предотвратить дальнейшие транзакции через затронутые счета.

Несмотря на блокировки, 12 ноября Unocoin обнаружила исходящие транзакции с Ethereum-адреса в своей инфраструктуре BitGo, который использовался для финансирования переводов токенов ERC-20, как описано в посте в блоге. BitGo расследует эти транзакции; их авторизация, время и общий объем пока не установлены. Эта ситуация отражает типичную трудность в инцидентах безопасности бирж: когда активы находятся у внешнего кастодиана, пострадавшая платформа зачастую зависит от данных и содействия этого провайдера, чтобы восстановить картину происходящего.

Биржа в настоящее время не имеет доступа к заблокированным счетам BitGo для проверки активности. Возможность самостоятельно восстановить историю транзакций дополнительно ограничена использованием BitGo адресов сдачи (change addresses), что может усложнить отслеживание активов между несколькими кошельками. В результате Unocoin не установила, произошли ли дополнительные несанкционированные переводы и были ли затронуты средства клиентов. Точка проникновения взлома и потенциальная утечка информации о клиентах также остаются невыясненными.

Растут вопросы о 81 000 пустых адресов кошельков

Приостановка работы привлекла дополнительное внимание после того, как блокчейн-аналитик Onchain Lens отметил в посте на X около 81 000 адресов, приписываемых Unocoin на платформе Arkham Intelligence, которые в совокупности показывали нулевой баланс портфеля.

Это наблюдение вызвало вопросы о резервах биржи, хотя оно не доказывает, что 81 000 кошельков клиентов были опустошены. Отслеживание Arkham охватывает адреса, идентифицированные как принадлежащие той или иной организации, и может не отражать полную кастодиальную инфраструктуру, особенно активы, хранящиеся у сторонних кастодианов или в неопознанных холодных хранилищах. Ончейн-аналитики routinely изучают помеченные адреса на платформах аналитики во время инцидентов с биржами как первичную оценку движения активов. Unocoin не опубликовала полную сверку обязательств перед клиентами с текущими запасами криптовалюты.

Биржа уже сталкивалась с подобным инцидентом. В августе 2017 года Unocoin временно приостановила вывод средств после того, как злоумышленники использовали ненадежно защищенные токены доступа, попавшие в журналы ошибок, для несанкционированных транзакций с кошельками. Впоследствии компания устранила уязвимость и возобновила работу.

Последний сбой последовал за признанием CoinDCX потерь почти в 16 млн долларов, связанных с ранее скомпрометированными адресами для депозитов, — еще один инцидент, вызвавший вопросы о контроле кастодиального хранения на криптобиржах Индии. Для пользователей централизованных платформ страны эти эпизоды сделали кастодиальные механизмы — где хранятся средства, как они защищены и как быстро могут быть заблокированы — предметом постоянного внимания.

Unocoin не объявила точную дату возобновления работы. Вход для клиентов, торговля и вывод средств останутся недоступными, пока компания перезапускает инфраструктуру, сверяет балансы с BitGo и Fireblocks и завершает проверки безопасности перед восстановлением операций. Ключевые события, за которыми стоит следить: итоги расследования BitGo по переводам от 12 ноября, любая опубликованная Unocoin сверка обязательств перед клиентами с текущими запасами, а также то, удержится ли биржа в рамках оценки восстановления в четыре-пять рабочих дней.

Источник: Crypto Adventure