Unocoin stopt alle diensten na vermoedelijk misbruik van BitGo-back-upsleutelroute
De Indiase exchange Unocoin heeft sinds 9 november stortingen, opnames en alle andere diensten opgeschort nadat het ongeautoriseerde overboekingen uit zijn BitGo-walletinfrastructuur had ontdekt. Het bedrijf zegt dat de betwiste transacties buiten BitGo om zijn ondertekend en uitgezonden via een back-uprecoverymechanisme, en dat de verliezen nog worden onderzocht.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Wat Unocoin heeft gemeld
De Indiase cryptocurrency-exchange Unocoin heeft op 9 november alle diensten opgeschort nadat het verdere ongeautoriseerde activiteit had ontdekt, blijkt uit de update over het incident. Het bedrijf had de activiteit voor het eerst op 6 november opgemerkt en BitGo en Fireblocks gevraagd de zakelijke accounts bij elke aanbieder te bevriezen. Unocoin meldde op 13 november dat de bevriezing van zijn BitGo-zakelijke account tot dusver had gewerkt, maar dat betwiste overboekingen buiten BitGo om waren ondertekend en uitgezonden.
In zijn rapport van 12 november zei Unocoin dat het uitgaande transacties had vastgesteld vanuit een Ethereum-adres binnen zijn BitGo-walletinfrastructuur, dat werd gebruikt om ERC-20-tokens te financieren. De exchange zei dat meer dan 90% van de cryptovaluta van klanten in cold storage werd bewaard, maar gaf ook aan dat het nog bezig was de volledige status van de tegoeden en de mogelijke blootstelling vast te stellen, zodat dat cijfer de verliesinschatting niet afsluit.
Hoe een herstelroute een bevriezing door de aanbieder kan omzeilen
De walletdocumentatie van BitGo beschrijft drie sleutels: een gebruikerssleutel, een back-upsleutel en een BitGo-sleutel. Normale transacties vereisen er twee van de drie, doorgaans de gebruikers- en de BitGo-sleutel. De back-upsleutel is ontworpen om met een van de andere twee te worden gecombineerd, wat een herstelroute mogelijk maakt die BitGo's sleutel niet gebruikt wanneer de aanbieder niet beschikbaar is.
BitGo stelt in zijn documentatie over opnamebeleid dat zijn beleid alleen van toepassing is op transacties waarbij BitGo betrokken is. Transacties die met de gebruikers- en back-upsleutel zijn ondertekend, vallen daarom buiten dat beleid. Unocoins update stelt dat het back-upmechanisme vermoedelijk is misbruikt, maar de precieze sleutels en het proces die bij dit incident zijn gebruikt, zijn niet onafhankelijk vastgesteld, en de documentatie beschrijft het algemene ontwerp en niet een reconstructie van de gebeurtenis.
Open vragen en volgende stappen
Unocoin zegt dat het nog onderzoekt hoe toegang tot het herstelmechanisme is verkregen, hoe groot eventuele cryptovaluta-verliezen zijn en of informatie is blootgesteld. Zijn laatste update meldt dat er wordt gewerkt aan het herstel van de diensten, maar het heeft geen tijdpad voor de hervatting gegeven. De rapporten van het bedrijf tot nu toe zijn zijn eigen verklaringen; in de bronnen werd geen onafhankelijke audit of bevinding van een toezichthouder aangehaald.
Waarom het ertoe doet
Voor handelaren
Gebruikers van Unocoin kunnen momenteel niet storten of opnemen, en de omvang van eventuele verliezen is niet bekendgemaakt, dus de blootstelling aan het tegenpartijrisico bij de Indiase exchange blijft onopgelost.
Voor beleggers
Het incident laat zien dat bevriezingen door custodians mogelijk niet elke ondertekeningscombinatie dekken die een wallet ondersteunt, een risico dat relevant is voor elke institutionele custodyregeling.
Voor ontwikkelaars
Teams die multi-sleutel-walletopstellingen gebruiken, dienen te controleren welke sleutelparen zonder de aanbieder kunnen ondertekenen en of het beleid van de aanbieder die herstelroutes daadwerkelijk dekt.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
