根據 Unocoin 針對此次安全事件的最新更新,該更新也在 X 上發布,即使 Unocoin 已凍結其 BitGo 帳戶,加密貨幣仍從其錢包中流出。該交易所認為,BitGo(NYSE: BTGO)多簽名錢包中的備份恢復路徑被用來轉移其資金,但尚未查明幕後操作者是誰。對於將資產託管於第三方機構的用戶而言,這一連串事件提醒我們:託管方確認的凍結措施本身並不能封鎖取用資金的所有途徑。

加密貨幣如何離開一個已凍結的錢包?

Unocoin 在發現可疑活動後,於 11 月 6 日請求 BitGo 凍結其公司帳戶。其部落格指出,凍結於 11:24 UTC 首先針對 Fireblocks 執行,11:29 UTC 針對 BitGo 執行。兩家託管機構均確認了凍結,當時未發現任何損失。

然而,Unocoin 於 11 月 13 日通報,其資金已從 BitGo 確認凍結的錢包中被轉出。該公司表示,BitGo 的多簽名錢包包含一條備份路徑,設計目的是讓客戶即使 BitGo 離線也能取用資金。

Unocoin 表示,這條路徑「疑似遭到利用」,目前正調查該路徑是如何被取得及使用的。

BitGo 自身的文件則將矛頭指向客戶端。其錢包恢復精靈(Wallet Recovery Wizard)可讓客戶「無需 BitGo」將資產轉出錢包,使用用戶金鑰與備份金鑰將資金轉移至新地址。BitGo 的文件說明,此類恢復交易會「繞過您與 BitGo 之間的任何政策」。恢復精靈需要備份公鑰、用戶公鑰、錢包密碼,以及 BitGo 公鑰或錢包地址其中之一才能運作。

誰該為 Unocoin 流失的加密貨幣負責?

Unocoin 尚未指明控制該金鑰的人是誰,也未說明損失的加密貨幣金額。但該公司已確認,超過 90% 的客戶加密資產存放於冷錢包。

Unocoin 於 11 月 9 日暫停所有服務後,追蹤其 BitGo 錢包中一個以太坊地址的轉出交易,並在 11 月 12 日前發現該地址曾被用於支付 ERC-20 代幣的費用。Unocoin 表示,BitGo 的找零地址(change-address)機制使其難以重建完整的交易歷史。該公司目前正重建整個伺服器架構,預計需時四至五個工作天。這些線索——誰控制了金鑰、轉出了多少加密貨幣,以及重建後的伺服器架構能揭示什麼——正是 Unocoin 進度更新所持續追蹤的重點。

同樣在 11 月 12 日,Arkham Intelligence 上約 80,986 個與 Unocoin 相關的地址顯示總價值為零。不過同一份報告指出,這些被標記的錢包在過去一個月內的持有量最多僅數百美元,三個月內的最高峰也僅略高於 25 萬美元。

在與 BitGo–Unocoin 爭議類似的情況中,WazirX 及其託管夥伴 Liminal 在 2024 年 7 月價值 2.34 億美元的 WazirX 遭駭事件後,相互指責長達數月。Liminal 主張所有交易均源自其客戶端,而 WazirX 則辯稱損失是 Liminal 平台的缺陷所致,如當時所報導。在這兩起事件中,懸而未決的問題都是哪一方的金鑰或系統引發了資金流出——這也正是 Unocoin 表示仍在為自身損失調查的重點。

另一方面,BitGo 近期公布其第三季業績。受數位資產庫藏價值上升推動,該公司錄得淨利潤 4,410 萬美元,報告顯示未實現收益為 7,150 萬美元。