BitGo weist Einbruchsvorwurf zurück, während Unocoin nicht autorisierte Wallet-Transfers untersucht
BitGo erklärte, seine Systeme seien nicht kompromittiert worden, und die umstrittenen Unocoin-Wallet-Transfers seien mit zwei Schlüsseln signiert worden, die bei der indischen Börse lagen, nicht bei BitGo. Unocoin untersucht den mutmaßlichen Missbrauch eines Backup-Wiederherstellungsmechanismus und hat die Kundenanmeldungen ausgesetzt.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was laut BitGo geschehen ist
BitGo erklärte in einer am 13. November auf X geteilten Stellungnahme, seine Systeme seien nicht kompromittiert worden, und ausgehende Transaktionen aus den Wallets von Unocoin seien ohne seine Beteiligung signiert worden. Das Unternehmen teilte mit, seine Prüfung habe ergeben, dass die Transaktionen mit den Benutzer- und Backup-Schlüsseln von Unocoin signiert und direkt on-chain übertragen worden seien. BitGo erklärte, keine anderen Kunden seien betroffen, und verwies Fragen zu Kundengeldern an Unocoin.
Die umstrittenen Transfers stammten von einer Ethereum-Adresse innerhalb der BitGo-Wallet-Infrastruktur von Unocoin. Unocoin identifizierte die Aktivität am 12. November, mehrere Tage nachdem das Konto am 6. November gesperrt worden war, was laut BitGo wie vorgesehen funktioniert habe.
Warum die Signaturstruktur wichtig ist
BitGo beschrieb die Wallets von Unocoin als 2-of-3-Self-Custody-Konstruktion, bei der Unocoin den Benutzer- und den Backup-Schlüssel hält und BitGo den dritten. Zur Autorisierung einer Transaktion sind zwei Schlüssel erforderlich. Laut BitGos Wallet-Dokumentation kann ein Backup-Schlüssel mit einem der beiden anderen Schlüssel kombiniert werden, was bedeutet, dass der Schlüssel des Unternehmens für die untersuchten Transfers nicht erforderlich war. Die Dokumentation hält außerdem fest, dass BitGo keinen Zugriff auf die privaten Benutzer- oder Backup-Schlüssel der Kunden hat.
BitGos veröffentlichte Wiederherstellungsanleitung beschreibt, wie Gelder ohne seine Dienste bewegt werden können, und zwar mithilfe des verschlüsselten Benutzerschlüssels, des Backup-Schlüssels, der Wallet-Passphrase und der Zieladresse. Unocoin erklärte, das Design solle den Zugriff auf Gelder auch dann sichern, wenn BitGo nicht verfügbar ist, und vermutet, dass dieser Wiederherstellungsweg ausgenutzt wurde.
Das Konto von Unocoin und offene Fragen
Unocoin teilte am 13. November mit, die von BitGo angeforderten Informationen erhalten zu haben, und räumte ein, dass die Sperre offenbar funktioniert habe und die Transaktionen außerhalb der BitGo-Plattform signiert und übertragen worden seien. Die Börse untersucht, wie auf den Backup-Mechanismus zugegriffen wurde, ob Kryptowährungen verloren gegangen sind und ob private Informationen offengelegt wurden.
Die Darstellungen beider Seiten haben sich teilweise verschoben. Unocoin erklärte am 12. November, der gesperrte Kontozugang habe verhindert, dass das vollständige Transaktionsverlauf über BitGo eingesehen werden konnte, und habe nach der Entdeckung von Transfers von einer zur Finanzierung von ERC-20-Token genutzten ETH-Adresse transaktionsbezogene Daten angefordert. Weder die Stellungnahme von BitGo noch die Klarstellung von Unocoin nennt die Person, die die Schlüssel verwendet hat, oder bestätigt einen Verlustbetrag.
Auch die Berichterstattung über das Ausmaß des Vorfalls ist uneinheitlich. Frühere Berichte von crypto.news unter Berufung auf Onchain Lens besagten, dass Arkham Intelligence für rund 81.000 mit der Börse verbundene Adressen null Bestände ausweise, während Unocoin an seiner Darstellung festhält, dass keine Kundengelder verloren gegangen seien, als das Unternehmen die Anmeldungen nach dem am 9. November bekannt gewordenen unautorisierten Serverzugriff zunächst aussetzte. Diese beiden Positionen wurden im geprüften Material nicht unabhängig abgeglichen. Die Website von Unocoin lieferte am 12. November einen 504-Gateway-Time-out-Fehler.
Warum das wichtig ist
Für Trader
Kunden von Unocoin sowie Gegenparteien mit Engagement in deren Wallets sollten die ungeklärte Verlustfrage als entscheidende Variable betrachten, bis die Börse eine bestätigte Zahl veröffentlicht.
Für Investoren
Der Vorfall verdeutlicht das Verwahrungs-Gegenparteirisiko und das operative Sicherheitsrisiko bei mittelgroßen Börsen, die für Kundengelder auf Multisig-Drittanbieter setzen.
Für Entwickler
Backup-Schlüssel-Wiederherstellungspfade in Multisig-Verwahrung können zu Angriffsflächen werden, weshalb die Trennung der Schlüsselinhaber und Zugriffskontrollen für Wiederherstellungsabläufe eine explizite Bedrohungsmodellierung erfordern.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
