Unocoin сообщила, что обнаружила исходящие транзакции с ETH-адреса в своей инфраструктуре BitGo. По уточнению биржи от 13 ноября, заморозка корпоративного аккаунта у BitGo сработала, но спорные операции были подписаны и отправлены в блокчейн вне платформы хранителя — через резервный механизм мультиподписного кошелька. Unocoin считает, что этот путь могли использовать злоумышленники, однако способ доступа к ключам ещё расследуется.

Кошельки BitGo используют схему «два ключа из трёх»: обычную операцию подписывают клиент и BitGo, а восстановление возможно ключами клиента и резервной стороны без участия BitGo. Политики BitGo прямо не распространяются на такие восстановительные транзакции. Это объясняет, почему блокировка аккаунта не обязательно блокирует средства в блокчейне, но не доказывает, что именно эта конфигурация и эти ключи были скомпрометированы у Unocoin.

Инцидент начался 6 ноября: Unocoin обнаружила постороннюю активность в своей инфраструктуре и запросила заморозку аккаунтов Fireblocks в 11:24 UTC и BitGo в 11:29 UTC. 9 ноября компания увидела новую несанкционированную активность и остановила все сервисы. Серверную инфраструктуру решено построить заново; на это биржа отводит четыре–пять рабочих дней. По её заявлению, более 90% клиентских криптоактивов хранятся в холодных кошельках.

Адреса и хеши спорных операций, время их подписания, сумма возможной потери и состав затронутых данных не раскрыты. Не установлен и точный путь компрометации резервного доступа. Поэтому сейчас подтверждён механизм обхода платформенной заморозки, но не окончательный ущерб и не виновник.