加密貨幣交易所 Unocoin 是一家總部位於印度的加密貨幣交易平台。該公司於 11 月 13 日表示，爭議的錢包轉帳是在 BitGo（一家機構級數位資產託管服務商）之外簽署並廣播的，而其 BitGo 企業帳戶的凍結機制在此之前一直如預期運作。

該交易所在偵測到更多未經授權的活動後，於 11 月 9 日暫停了所有服務。此前，在 11 月 6 日首次注意到該活動後，它已請求凍結其分別持有於 BitGo 和企業級數位資產基礎設施公司 Fireblocks 的企業帳戶。對客戶而言，全面暫停意味著在交易所恢復營運之前，交易與提款均無法使用。

在事故更新中，Unocoin 表示，一項旨在於 BitGo 無法使用時保全資金存取的備援機制疑似遭人利用。該公司仍在調查該機制如何被使用、加密貨幣損失的規模，以及任何潛在的資訊外洩。

錢包簽署的兩條路徑

BitGo 的錢包文件描述了三金鑰結構：用戶金鑰、備援金鑰和 BitGo 金鑰。正常交易使用用戶金鑰和 BitGo 金鑰來滿足「三取二」的簽署要求。不過，備援金鑰可以與另外兩把金鑰中的任何一把配對。

將簽署權限分散到多把金鑰是機構級加密託管的主要做法，因為這可防止任何單一金鑰持有者單方面移動資金。

將備援金鑰與用戶金鑰配對，會產生一條不需要 BitGo 金鑰的簽署路徑，而在該恢復機制中「三取二」的要求仍然適用。改變的只是用來滿足要求的金鑰組合：用戶金鑰和備援金鑰取代了通常的「用戶與服務商」組合，使 BitGo 完全置身於簽署過程之外。

BitGo 在其提款政策文件中承認了這項限制，指出此類政策僅適用於涉及 BitGo 的交易。以用戶金鑰和備援金鑰簽署的恢復交易，會繞過與服務商一同配置的政策。

這項恢復功能可在服務商無法使用時保全對資金的存取，也有助於解釋為何帳戶凍結不能被視為對錢包金鑰所能簽署的每一筆交易的全面限制。

調查仍在進行中

Unocoin 表示，於 11 月 12 日發現其 BitGo 錢包基礎設施內的一個以太坊地址有轉出交易，該地址被用於為 ERC-20 代幣——一種依據廣泛使用的代幣標準在以太坊上發行的資產——提供資金。其 11 月 13 日的說明將爭議活動歸因於外部簽署，而備援存取疑似遭濫用的情況仍在調查中。

在其 11 月 12 日報告中，Unocoin 表示超過 90% 的客戶加密貨幣資金存放於冷錢包，即私鑰保存在未連接網際網路的系統上。該公司當時仍在確認其持倉的完整狀況及潛在風險，因此該說法並未確定損失評估。

根據 Unocoin 的最新更新，恢復服務的工作仍在進行中。尚未解決的問題包括：疑似恢復路徑是如何被存取的、造成了哪些損失或資訊外洩，以及服務何時能夠恢復。