Unocoin, le plus ancien exchange crypto indien, pointe vers un mécanisme de sauvegarde BitGo après une brèche
- Unocoin indique que BitGo a confirmé le gel de son compte de garde, mais des fonds ont tout de même quitté un portefeuille on-chain via un chemin de récupération de secours.
- La plateforme d'échange enquête pour déterminer qui a accédé à cette sauvegarde.
- Unocoin reconstruit également ses serveurs sur une période de quatre à cinq jours ouvrables, les connexions et les retraits restant suspendus.
Unocoin précise que des cryptomonnaies sont sorties d'un de ses portefeuilles, bien qu'elle ait gelé son compte BitGo dans sa dernière mise à jour concernant l'exploitation vulnérable subie.
Unicoin pense qu'un chemin de récupération de secours dans les portefeuilles multisignatures de BitGo (NYSE: BTGO) a été utilisé pour transférer ses fonds, mais elle ignore l'identité de l'auteur des faits.
Comment la cryptomonnaie a-t-elle pu quitter un portefeuille qui était gelé ?
Unocoin a demandé à BitGo de geler ses comptes d'entreprise le 6 novembre après avoir détecté une activité suspecte. Son blog indique que les gels ont débuté à 11 h 24 UTC pour Fireblocks et à 11 h 29 UTC pour BitGo. Les deux dépositaires ont confirmé les gels et aucune perte n'a été constatée à ce stade.
Cependant, le 13 novembre, Unocoin a indiqué que son argent avait été transféré hors du portefeuille que BitGo avait confirmé être gelé. Unocoin précise que les portefeuilles multisignatures de BitGo disposent d'un chemin de secours destiné à permettre à un client d'accéder à ses fonds même si BitGo est hors ligne.
Unocoin indique que ce chemin « semble avoir été exploité » et qu’il vérifie désormais comment il a été atteint et utilisé.
Les documents de BitGo accusent directement ses clients. Son Assistant de récupération de portefeuille permet aux clients de retirer des actifs de leurs portefeuilles « sans BitGo ». Il utilise la clé utilisateur et la clé de sauvegarde pour transférer les fonds vers une nouvelle adresse.
Les documents de BitGo indiquent que ces transactions de récupération « contournent toutes les politiques que vous avez avec BitGo ». L’assistant de récupération nécessite la clé publique de sauvegarde, la clé publique utilisateur, la phrase secrète du portefeuille, ainsi que soit la clé publique de BitGo, soit l’adresse du portefeuille pour fonctionner.
Qui est responsable de la perte de crypto-monnaies d’Unocoin ?
Unocoin n’a pas révélé qui contrôlait la clé, ni indiqué le montant exact des crypto-monnaies perdues. La société a toutefois confirmé que plus de 90 % des crypto-monnaies des clients sont stockées hors ligne (cold storage).
Après avoir suspendu tous ses services le 9 novembre, Unocoin a retracé les transactions sortantes depuis une adresse Ethereum de ses portefeuilles BitGo et, le 12 novembre, il a découvert que cette adresse avait été utilisée pour financer des jetons ERC-20.
Unocoin indique que la configuration des adresses de changement de BitGo rend difficile la reconstruction de l'historique complet des transactions. L'entreprise reconstruit désormais toute sa pile serveur, ce qui devrait prendre quatre à cinq jours ouvrables.
Toujours le 12 novembre, environ 80 986 adresses liées à Unocoin sur Arkham Intelligence affichaient une valeur totale de zéro. Cependant, le même rapport indiquait que les portefeuilles étiquetés ne détenaient que quelques centaines de dollars au maximum au cours du mois écoulé. Leur pic sur trois mois n'était que légèrement supérieur à 250 000 $.
Dans une situation similaire à celle de BitGo et d'Unocoin, WazirX et son partenaire de garde, Liminal se sont accusés mutuellement pendant des mois après Piratage de WazirX : 234 millions de dollars en juillet 2024. Liminal a affirmé que toutes les transactions provenaient du côté de son client, tandis que WazirX soutenait que la perte était due à un défaut de la plateforme Liminal.
Parallèlement, BitGo a récemment publié ses résultats du troisième trimestre. Il a enregistré un bénéfice net de 44,1 millions de dollars, porté par une augmentation de la valeur de son trésor en actifs numériques. Le rapport de l'entreprise chiffre plus-value latente à 71,5 millions de dollars.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Que dit BitGo à Unocoin concernant le compte gelé ?
BitGo a confirmé que les comptes professionnels d'Unocoin avaient été gelés sur instruction le 6 novembre et que cette fonction de gel avait opéré comme prévu, selon la mise à jour du 13 novembre d'Unocoin. BitGo a indiqué que les transactions contestées avaient été signées et diffusées hors plateforme, sans utiliser son service.
Comment les fonds ont-ils pu être transférés si le compte était gelé ?
Selon Unocoin, un mécanisme de secours dans les portefeuilles multisignatures de BitGo semble avoir été exploité. La documentation officielle de BitGo décrit un « Assistant de récupération de portefeuille » (Wallet Recovery Wizard) qui utilise la clé utilisateur et la clé de sauvegarde pour déplacer des actifs sans l'intervention de BitGo, contournant ainsi ses politiques.
Unocoin a-t-il perdu les fonds de ses clients ?
Unocoin n'a confirmé aucune perte et affirme que plus de 90 % des cryptomonnaies des clients sont stockées hors ligne. Un rapport du 12 novembre a révélé environ 80 986 adresses Arkham liées à Unocoin affichant un solde nul, mais ces portefeuilles n'avaient historiquement détenu que de petits soldes.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
