Unocoin остановила сервисы после вывода средств через резервный доступ BitGo

Индийская криптобиржа Unocoin 9 ноября полностью остановила обслуживание клиентов. Поводом стали несанкционированные переводы с кошельков, доступ к которым обеспечивает кастодиан BitGo. Точная сумма ущерба пока не называется. Вход в аккаунты и вывод средств заблокированы.

Проблемы начались 6 ноября, когда команда биржи заметила подозрительную активность. Площадка запросила у BitGo и Fireblocks экстренную заморозку своих корпоративных счетов, где лежали балансы для ежедневных операций. Оба провайдера подтвердили блокировку. 12 ноября специалисты Unocoin обнаружили исходящие переводы с адреса Ethereum, привязанного к кошелькам BitGo. Время исполнения этих транзакций в блокчейне ни биржа, ни кастодиан не уточнили.

Кто подписал транзакции

13 ноября Unocoin признала, что спорные переводы были подписаны и отправлены в сеть напрямую, минуя платформу кастодиана. Биржа расследует эксплуатацию резервного механизма, считает убытки в криптовалюте и проверяет, не утекли ли персональные данные клиентов.

В тот же день BitGo опубликовал результаты внутренней проверки. По версии компании, её системы не были скомпрометированы, заморозка сработала штатно, другие клиенты не пострадали. Unocoin использовала некастодиальную схему, в которой перевод требует двух подписей из трёх. Один ключ — пользовательский — хранится у клиента. Второй, резервный, тоже под контролем клиента и нужен на случай отказа кастодиана. Третий остаётся у BitGo и участвует в обычных ежедневных переводах.

В штатном режиме операция подписывается ключом клиента и ключом провайдера. Внутренние лимиты и политики безопасности при этом действуют лишь тогда, когда вывод проходит через серверы BitGo. Открытые инструкции кастодиана по аварийному восстановлению прямо допускают подписание и отправку транзакции напрямую в блокчейн: достаточно объединить пользовательский и резервный ключи, и требование о двух подписях из трёх выполнено без участия третьего ключа.

Что осталось выяснить

Именно этой возможностью и воспользовались злоумышленники. Заморозка корпоративного счёта закрыла доступ к интерфейсу и ключу BitGo, но не отняла у держателя двух других ключей техническую возможность работать с сетью напрямую.

Бирже предстоит установить, как атакующие получили одновременно основной и резервный ключи, которые по правилам безопасности должны храниться отдельно. Клиентам Unocoin остаётся ждать от компании двух вещей: точной суммы украденных активов в Ethereum и других монетах и сроков, когда вернут доступ к аккаунтам и депозитам. Ни того, ни другого площадка пока не назвала.