BitGo niega una brecha de seguridad mientras Unocoin investiga transferencias no autorizadas desde sus carteras
BitGo afirma que sus sistemas no fueron vulnerados y que las transferencias disputadas de las carteras de Unocoin se firmaron con dos claves en poder del exchange indio, no de la propia BitGo. Unocoin investiga el presunto uso indebido de un mecanismo de recuperación de respaldo y ha suspendido los inicios de sesión de los clientes.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Lo que dice BitGo sobre lo ocurrido
BitGo afirmó en un comunicado del 13 de noviembre, compartido en X, que sus sistemas no fueron vulnerados y que las transacciones salientes de las carteras de Unocoin se firmaron sin su participación. La empresa señaló que su revisión determinó que las transacciones se firmaron con las claves de usuario y de respaldo de Unocoin y se transmitieron directamente a la cadena de bloques. BitGo indicó que no se vio afectado ningún otro cliente y remitió las preguntas sobre los fondos de los clientes a Unocoin.
Las transferencias disputadas procedían de una dirección de Ethereum dentro de la infraestructura de carteras de BitGo de Unocoin. Unocoin identificó la actividad el 12 de noviembre, varios días después de que su cuenta fuera congelada el 6 de noviembre, algo que BitGo dijo que funcionó según lo previsto.
Por qué importa la estructura de firma
BitGo describió las carteras de Unocoin como un esquema de autocustodia 2-de-3, en el que Unocoin posee las claves de usuario y de respaldo, y BitGo posee la tercera. Se necesitan dos claves para autorizar una transacción. La documentación de las carteras de BitGo indica que una clave de respaldo puede combinarse con cualquiera de las otras dos, lo que significa que la clave de la empresa no era necesaria para las transferencias bajo revisión. La documentación también afirma que BitGo no tiene acceso a las claves privadas de usuario o de respaldo de sus clientes.
Las instrucciones de recuperación publicadas por BitGo describen cómo se pueden mover los fondos sin sus servicios, utilizando la clave de usuario cifrada, la clave de respaldo, la frase de contraseña de la cartera y la dirección de destino. Unocoin declaró que el diseño pretende preservar el acceso a los fondos si BitGo deja de estar disponible, y sospecha que esta vía de recuperación fue explotada.
La cuenta de Unocoin y las preguntas abiertas
El 13 de noviembre, Unocoin afirmó que había recibido la información que solicitó a BitGo y reconoció que el congelamiento parecía funcionar y que las transacciones se firmaron y transmitieron fuera de la plataforma de BitGo. El exchange está investigando cómo se accedió al mecanismo de respaldo, si se perdió alguna criptomoneda y si se expuso información privada.
Las versiones de ambas partes han cambiado en cierta medida. El 12 de noviembre, Unocoin indicó que el acceso congelado a la cuenta le impidió revisar el historial completo de transacciones a través de BitGo, y había solicitado datos a nivel de transacción tras detectar transferencias desde una dirección de ETH utilizada para financiar tokens ERC-20. Ni el comunicado de BitGo ni la aclaración de Unocoin identifican a la persona que utilizó las claves ni confirman una cifra de pérdidas.
La cobertura también ha variado en cuanto a la magnitud del incidente. Un reporte anterior de crypto.news, citando a Onchain Lens, indicó que Arkham Intelligence mostraba saldos de cero en unas 81.000 direcciones asociadas al exchange, mientras que Unocoin ha sostenido que no se perdieron fondos de clientes cuando suspendió por primera vez los inicios de sesión tras el acceso no autorizado a sus servidores, divulgado el 9 de noviembre. Ambas posiciones no han sido conciliadas de forma independiente en el material revisado. El sitio web de Unocoin devolvía un error 504 Gateway Time-out el 12 de noviembre.
Por qué importa
Para los traders
Los clientes de Unocoin y cualquier contraparte con exposición a sus carteras deberían considerar la cuestión no resuelta de las pérdidas como la variable clave hasta que el exchange publique una cifra confirmada.
Para los inversores
El incidente pone de relieve el riesgo de contraparte en custodia y de seguridad operativa en exchanges de tamaño medio que dependen de proveedores externos de multifirma para custodiar los fondos de los clientes.
Para los desarrolladores
Las vías de recuperación mediante clave de respaldo en la custodia multifirma pueden convertirse en superficies de ataque, por lo que la separación de los titulares de claves y los controles de acceso al flujo de recuperación requieren un modelado explícito de amenazas.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
