Индийская биржа криптовалют Unocoin остановила работу всех сервисов после несанкционированного вывода средств через механизм резервного доступа к кошелькам BitGo. Кастодиан отрицает взлом своей инфраструктуры и указывает, что транзакции подписали двумя ключами, которые хранились на стороне самой торговой площадки.
Инцидент затронул пользователей Unocoin — доступ к аккаунтам и операциям на платформе полностью заблокирован, а точная сумма потерь пока не раскрывается. Для индустрии криптовалют эта ситуация наглядно показывает слабое место некастодиальных схем с мультиподписью: заморозка аккаунта у провайдера инфраструктуры не спасает активы, если злоумышленник завладел клиентскими ключами.
Хронология заморозки счетов в BitGo и Fireblocks
Проблемы с безопасностью начались 6 ноября, когда команда Unocoin заметила подозрительную активность. Площадка сразу запросила экстренную заморозку своих корпоративных счетов у инфраструктурных провайдеров BitGo и Fireblocks, где хранились балансы для ежедневных операций. Оба сервиса подтвердили блокировку и заверили, что провести транзакции через их платформы больше нельзя.
Однако 9 ноября биржа зафиксировала новые несанкционированные действия и полностью приостановила работу всех сервисов. Уже 12 ноября специалисты Unocoin обнаружили исходящие переводы с адреса Эфириума, который относился к кошелькам BitGo. Точное время исполнения этих транзакций в блокчейне ни биржа, ни провайдер не уточнили.
Заходите в наш Telegram-чат 2Bitcoins, если хотите обсудить новость с другими читателями.
В отчете от 13 ноября представители Unocoin признали, что спорные переводы были подписаны и отправлены в сеть напрямую, в обход платформы кастодиана. Сейчас биржа расследует эксплуатацию резервного механизма, подсчитывает убытки в криптовалюте и проверяет, не произошла ли утечка персональных данных клиентов.
Как устроена схема мультиподписи 2-из-3 в BitGo
В тот же день, 13 ноября, компания BitGo выпустила официальное заявление по итогам внутренней проверки. Кастодиан подчеркнул, что его системы не взламывали, заморозка от 6 ноября сработала штатно, а другие клиенты сервиса не пострадали. По данным провайдера, Unocoin использовала некастодиальную схему управления кошельками, где для проведения транзакции требуются два из трех ключей.
Мужчина за столом с двумя мониторами в тёмном офисе
Согласно документации BitGo, роли и доступы в такой архитектуре распределяются следующим образом:
- пользовательский ключ хранится у клиента (в данном случае у биржи Unocoin);
- резервный ключ также находится под контролем клиента на случай, если сам кастодиан прекратит работу или станет недоступен;
- третий ключ остается у BitGo для совместного подписания стандартных ежедневных переводов.
При обычной работе транзакция подписывается пользовательским ключом и ключом провайдера. При этом внутренние политики безопасности и лимиты на вывод средств действуют только тогда, когда операция проходит через серверы кастодиана. Вопрос хранения резервных фраз и ключей остается критическим для всей отрасли: иногда владельцам приходится нанимать специалистов, чтобы восстановить утраченный доступ к кошельку, но в случае с Unocoin встроенный инструмент спасения средств сработал против самой площадки.
Причины обхода блокировки и риски для бирж
В открытых инструкциях BitGo по аварийному восстановлению прямо описан способ подписания и отправки транзакций напрямую в блокчейн без участия сервисов компании. Для этого достаточно объединить пользовательский и резервный ключи — требование о двух подписях из трех выполняется, а ключ кастодиана в процессе вообще не участвует.
Металлические ключи на деревянном столе рядом с ноутбуком
Именно этой особенностью архитектуры и воспользовались взломщики. Заморозка корпоративного аккаунта перекрыла доступ к интерфейсу и ключу BitGo, но не могла лишить держателя двух остальных ключей технической возможности взаимодействовать с блокчейном напрямую.
Следите за новостями в нашем Telegram-канале 2Bitcoins.
Индийской бирже предстоит выяснить, как именно злоумышленники получили одновременный доступ к основному и резервному ключам, которые по правилам безопасности должны храниться раздельно. Для клиентов Unocoin главным ориентиром остаются следующие публикации компании: площадка должна назвать точную сумму украденных средств в Эфириуме и других активах, а также объявить сроки возобновления входа в аккаунты и вывода депозитов.
Читайте также: Цена биткоина упала ниже $68 000: ликвидации в криптовалютах достигли $1,6 млрд
ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.
Подписывайтесь на страницы новостей криптовалют -
