Unocoin stellt Dienste nach mutmaßlichem Missbrauch des BitGo-Backup-Schlüssel-Wegs ein
Die indische Börse Unocoin hat seit dem 9. November Einzahlungen, Auszahlungen und alle übrigen Dienste ausgesetzt, nachdem unautorisierte Überweisungen aus ihrer BitGo-Wallet-Infrastruktur festgestellt wurden. Das Unternehmen gibt an, die strittigen Transaktionen seien außerhalb von BitGo über einen Backup-Wiederherstellungsmechanismus signiert und übertragen worden; die Verluste werden derzeit untersucht.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was Unocoin mitgeteilt hat
Die indische Kryptowährungsbörse Unocoin hat am 9. November alle Dienste ausgesetzt, nachdem weitere unautorisierte Aktivitäten festgestellt wurden, wie aus ihrer Vorfallsmeldung hervorgeht. Das Unternehmen bemerkte die Aktivität erstmals am 6. November und bat BitGo und Fireblocks, ihre Enterprise-Konten bei den jeweiligen Anbietern einzufrieren. Unocoin teilte am 13. November mit, das Einfrieren des BitGo-Enterprise-Kontos habe bisher funktioniert, die strittigen Überweisungen seien jedoch außerhalb von BitGo signiert und übertragen worden.
In ihrem Bericht vom 12. November erklärte Unocoin, sie habe ausgehende Transaktionen von einer Ethereum-Adresse innerhalb ihrer BitGo-Wallet-Infrastruktur identifiziert, die zur Finanzierung von ERC-20-Token genutzt wurde. Die Börse gab an, mehr als 90 % der Kundenkryptowährungen seien in Cold Storage gehalten worden. Sie erklärte aber zugleich, sie ermittle noch den vollständigen Status der Bestände und das potenzielle Risiko, sodass diese Zahl die Schadensbewertung nicht abschließend klärt.
Wie ein Wiederherstellungsweg ein Einfrieren durch den Anbieter umgehen kann
BitGos Wallet-Dokumentation beschreibt drei Schlüssel: einen Nutzerschlüssel, einen Backup-Schlüssel und einen BitGo-Schlüssel. Normale Transaktionen erfordern zwei der drei, typischerweise den Nutzer- und den BitGo-Schlüssel. Der Backup-Schlüssel ist so konzipiert, dass er mit einem der beiden anderen kombiniert werden kann, was einen Wiederherstellungsweg ohne BitGos Schlüssel ermöglicht, falls der Anbieter nicht erreichbar ist.
BitGo erklärt in seiner Dokumentation zu Auszahlungsrichtlinien, dass seine Richtlinien nur für Transaktionen gelten, an denen BitGo beteiligt ist. Mit Nutzer- und Backup-Schlüssel signierte Transaktionen fallen daher nicht unter diese Richtlinien. Unocoins Meldung besagt, der Backup-Mechanismus scheine ausgenutzt worden zu sein. Die genauen Schlüssel und das in diesem Vorfall verwendete Verfahren sind jedoch nicht unabhängig bestätigt, und die Dokumentation beschreibt das allgemeine Design, nicht eine Rekonstruktion des Vorfalls.
Offene Fragen und nächste Schritte
Unocoin gibt an, weiterhin zu untersuchen, wie auf den Wiederherstellungsmechanismus zugegriffen wurde, wie hoch etwaige Kryptowährungsverluste sind und ob Informationen offengelegt wurden. Die jüngste Meldung besagt, die Arbeiten zur Wiederherstellung der Dienste liefen weiter, einen Zeitplan für die Wiederaufnahme hat das Unternehmen jedoch nicht genannt. Die bisherigen Berichte des Unternehmens sind dessen eigene Aussagen; in den Quellen wird weder ein unabhängiges Audit noch eine Feststellung einer Aufsichtsbehörde angeführt.
Warum es wichtig ist
Für Trader
Unocoin-Nutzer können derzeit weder einzahlen noch auszahlen. Die Höhe etwaiger Verluste wurde nicht offengelegt, daher bleibt das Gegenparteirisiko bei der indischen Börse ungeklärt.
Für Investoren
Der Vorfall zeigt, dass Einfrierungen durch Verwahrer möglicherweise nicht alle Signaturkombinationen abdecken, die eine Wallet unterstützt. Dieses Risiko ist für jede institutionelle Verwahrungslösung relevant.
Für Entwickler
Teams, die Wallets mit mehreren Schlüsseln einsetzen, sollten prüfen, welche Schlüsselpaare ohne den Anbieter signieren können und ob die Richtlinien des Anbieters diese Wiederherstellungswege tatsächlich abdecken.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
