Indiens älteste Krypto-Börse Unocoin verweist nach Hack auf BitGo-Backup-Mechanismus
- Unocoin gibt an, dass BitGo das Einfrieren seines Verwahrungskontos bestätigt hat, aber dennoch verließen Mittel über einen Backup-Wiederherstellungspfad eine Wallet on-chain.
- Die Börse ermittelt, wer auf diesen Backup-Zugriff hatte.
- Unocoin baut zudem seine Server innerhalb von vier bis fünf Arbeitstagen neu auf; Logins und Auszahlungen sind weiterhin ausgesetzt.
Unocoin sagt, Kryptowerte hätten eine seiner Wallets verlassen, obwohl es sein BitGo-Konto in seinem neuesten Update zum erlittenen Exploit eingefroren hatte.
Unicoin geht davon aus, dass ein Backup-Wiederherstellungspfad in den Multisignature-Wallets von BitGo (NYSE: BTGO) genutzt wurde, um die Mittel zu bewegen, weiß aber nicht, wer der Täter ist.
Wie konnte Kryptowert eine Wallet verlassen, die eingefroren war?
Unocoin bat BitGo am 6. November, seine Firmenkonten einzufrieren, nachdem verdächtige Aktivitäten entdeckt wurden. Sein Blog sagt die Einfrierungen begannen um 11:24 UTC für Fireblocks und um 11:29 UTC für BitGo. Beide Verwahrer bestätigten die Einfrierungen, und zu diesem Zeitpunkt wurden keine Verluste festgestellt.
Am 13. November sagte Unocoin jedoch dass sein Geld bewegt wurde aus der Wallet, die BitGo als eingefroren bestätigt hatte. Unocoin sagt, dass BitGo’s Multisignature-Wallets einen Backup-Pfad haben, der einem Kunden ermöglichen soll, auf die Mittel zuzugreifen, selbst wenn BitGo offline geht.
Unocoin gibt an, dass dieser Weg „ausgenutzt worden zu sein scheint“ und prüft nun, wie er erreicht und genutzt wurde.
BitGo’s eigene Dokumente schieben die Schuld auf seine Kunden. Sein Wallet Recovery Wizard ermöglicht es Kunden, Vermögenswerte „ohne BitGo“ aus ihren Wallets abzuheben. Dabei werden der Benutzerschlüssel und der Backup-Schlüssel verwendet, um Gelder auf eine neue Adresse zu übertragen.
Laut BitGo’s Dokumenten „umgehen diese Wiederherstellungs-Transaktionen alle Richtlinien, die Sie mit BitGo vereinbart haben.“ Der Recovery Wizard erfordert den öffentlichen Backup-Schlüssel, den öffentlichen Benutzerschlüssel, die Wallet-Passphrase sowie entweder den öffentlichen BitGo-Schlüssel oder die Wallet-Adresse, um zu funktionieren.
Wer trägt die Schuld am Verlust von Unocoin’s Kryptowährung?
Unocoin hat nicht genannt, wer den Schlüssel kontrolliert hat, und auch nicht angegeben, wie viel Kryptowährung verloren ging. Das Unternehmen hat jedoch bestätigt, dass mehr als 90 % des Kunden-Krypto in Cold Storage gelagert sind.
Nachdem Unocoin am 9. November alle Dienste eingestellt hatte, verfolgte es ausgehende Transaktionen von einer Ethereum-Adresse in seinen BitGo-Wallets und stellte bis zum 12. November fest, dass diese Adresse zur Finanzierung von ERC-20-Token verwendet wurde.
Unocoin gibt an, dass die Change-Address-Konfiguration von BitGo den Wiederaufbau der vollständigen Transaktionshistorie erschwert. Derzeit wird der gesamte Server-Stack neu aufgebaut, was voraussichtlich vier bis fünf Werktage dauern wird.
Am 12. November wies Arkham Intelligence für etwa 80.986 mit Unocoin verknüpfte Adressen einen Gesamtwert von null aus. Derselbe Bericht ergab jedoch, dass diese als Wallets gekennzeichneten Konten im vergangenen Monat höchstens einige hundert Dollar wert waren. Ihr Spitzenwert über drei Monate lag bei etwas mehr als 250.000 US-Dollar.
In einer ähnlichen Situation wie bei BitGo und Unocoin warfen sich WazirX und sein Custody-Partner Liminal monatelang gegenseitig die Schuld nach dem 234 Millionen Dollar WazirX-Hack im Juli 2024. Liminal behauptete, alle Transaktionen seien auf Seiten des Kunden entstanden, während WazirX argumentierte, der Verlust sei auf einen Fehler in der Liminal-Plattform zurückzuführen.
Unabhängig davon hat BitGo kürzlich seine Ergebnisse für das dritte Quartal bekannt gegeben. Es verbuchte einen Nettogewinn von 44,1 Millionen US-Dollar, getrieben durch einen Anstieg des Wertes seiner digitalen Asset-Tresore. Im Bericht des Unternehmens wird der unrealisierte Gewinn auf 71,5 Millionen US-Dollar beziffert.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Was hat BitGo Unocoin bezüglich des eingefrorenen Kontos mitgeteilt?
Laut der Aktualisierung von Unocoin vom 13. November bestätigte BitGo, dass die Unternehmenskonten von Unocoin auf Anweisung am 6. November eingefroren wurden und die Einfrierfunktion wie vorgesehen funktionierte. BitGo erklärte, dass die strittigen Transaktionen extern signiert und in die Blockchain gesendet wurden, ohne dessen Plattform zu nutzen.
Wie konnten Gelder bewegt werden, wenn das Konto eingefroren war?
Unocoin gibt an, dass ein Backup-Mechanismus in den Multisignatur-Wallets von BitGo anscheinend ausgenutzt wurde. Die eigenen Dokumente von BitGo beschreiben einen Wallet Recovery Wizard, der den Benutzerschlüssel und den Backup-Schlüssel nutzt, um Vermögenswerte ohne BitGo zu bewegen und dessen Richtlinien zu umgehen.
Hat Unocoin Kundengelder verloren?
Unocoin hat einen Verlust nicht bestätigt und erklärt, dass mehr als 90 % des Kryptobestands der Kunden in Cold Storage gelagert sind. Ein Bericht vom 12. November ergab etwa 80.986 mit Unocoin verknüpfte Arkham-Adressen mit einem Saldo von null, doch diese Wallets hatten historisch gesehen nur geringe Guthaben.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
