Заморозка счёта в BitGo не помешала выводу с биржи Unocoin

Подозрительную активность в своих системах Unocoin заметила в пятницу, 6 ноября. В течение пяти минут биржа попросила заморозить корпоративные счета у двух провайдеров хранения: Fireblocks (11:24 UTC) и BitGo (11:29 UTC). Оба подтвердили заморозку, потерь криптовалюты на тот момент не нашли, говорится в отчёте Unocoin.

В понедельник, 9 ноября, биржа обнаружила новую несанкционированную активность и остановила все сервисы. Серверы решили не чинить, а собрать заново, на это уйдёт четыре-пять рабочих дней. 12 ноября Unocoin нашла исходящие транзакции с одного из ETH-адресов в инфраструктуре BitGo, через который пополняла ERC-20 токены.

Почему заморозка не остановила перевод

Кошелёк работал по схеме мультиподписи 2 из 3: для перевода нужны любые два ключа из трёх. По данным BitGo, это было самостоятельное хранение: ключ пользователя и резервный ключ держала Unocoin, третий ключ был у BitGo.

Обычный вывод идёт через платформу: ключ пользователя плюс ключ BitGo, который подписывает только после проверок и политик клиента. Но пара «ключ пользователя + резервный ключ» позволяет двигать средства и без провайдера. Так задумано: клиент не должен зависеть от BitGo, если с ним что-то случится.

Эту пару и использовали. BitGo утверждает, что транзакции в Ethereum подписаны ключом пользователя и резервным ключом Unocoin и отправлены в блокчейн напрямую, а её собственный ключ не участвовал. Попытки провести вывод через платформу 9 ноября заморозка заблокировала. 13 ноября Unocoin согласилась, что заморозка сработала как задумано, а резервный механизм, по её словам, похоже, использовали злоумышленники.

Что делает заморозка у кастодиана, по описанию BitGo:

• запрещает BitGo подписывать транзакции своим ключом;
• блокирует запросы на вывод через платформу;
• не блокирует средства на уровне блокчейна;
• не отзывает украденные ключи клиента, смена пароля и лимиты на платформе тут тоже бессильны.

Кроме ERC-20 токенов в сети Ethereum, BitGo нашла переводы XRP, HBAR и EOS. Компания рекомендовала Unocoin перевести оставшиеся средства на новые кошельки с новыми ключами. Позиция BitGo в этой истории заинтересованная: она настаивает, что её системы не взламывали.

Что известно о деньгах клиентов

Сумму ушедших средств не называют ни биржа, ни BitGo. Unocoin пишет, что больше 90% криптовалюты клиентов лежит в холодном хранении. Но полной картины у неё нет: войти в замороженные аккаунты BitGo она не может, а адреса сдачи мешают отследить все переводы по блокчейну. Как пишет The Block, на вопрос пользователя в X о возврате средств биржа ответила, что не станет давать гарантий «на основе предположений».

Для клиентов любых площадок вывод из этой истории простой: фраза «средства хранятся у кастодиана» ничего не говорит о том, у кого ключи. Слабым местом снова оказались ключи и процессы самой площадки, как и при выводе $2,5 млрд из Binance. Вопрос, где и как хранятся ключи, недавно поднимал и взлом Keystone.

Как злоумышленники получили сразу оба ключа, которые BitGo советует держать отдельно от повседневных систем подписи, Unocoin пока не объяснила: первопричину и последовательность событий биржа ещё не установила.