Unocoin confirma brecha de seguridad; Arkham: 81 000 monederos vacíos

Fundada en 2013, Unocoin, con sede en Bengaluru, se encuentra entre las primeras plataformas de intercambio de criptomonedas de la India. Sus últimos problemas de seguridad han planteado preguntas incómodas sobre la custodia, las vulnerabilidades de la infraestructura y la fiabilidad de los saldos de los monederos que se pueden consultar públicamente.

Los problemas comenzaron el 6 de noviembre, cuando Unocoin detectó actividad no autorizada y solicitó la congelación de sus cuentas empresariales de Fireblocks y Bitgo a las 11:24 UTC y a las 11:29 UTC, respectivamente. Según se informa, ambos proveedores de custodia confirmaron las restricciones, sin que se identificaran pérdidas en ese momento.

Tres días después, nuevas actividades sospechosas llevaron a Unocoin a publicar una actualización, suspender los servicios y desactivar los inicios de sesión de los clientes. La empresa reconoció que su infraestructura se había visto comprometida, pero reiteró que «no se han perdido fondos en criptomonedas».

¿Perdió Unocoin fondos de sus clientes o es que Arkham no ve el panorama completo?

El jueves, la cuenta de monitorización de blockchain Onchain Lens destacó una lectura inusual en el panel de control de Unocoin de Arkham Intelligence. Aproximadamente 80 986 direcciones atribuidas mostraban una valoración colectiva de 0 dólares, acompañada del mensaje «No se han encontrado activos». Bitcoin.com News puede confirmar que el panel de control de Arkham muestra a la entidad Unocoin con casi 81 000 carteras vacías.

Esta observación suscitó inmediatamente especulaciones sobre una posible fuga de fondos de la plataforma de intercambio. Sin embargo, la atribución de direcciones de Arkham no representa necesariamente la totalidad de los acuerdos de custodia de Unocoin, sobre todo si los activos se transfirieron a carteras no identificadas previamente.

Varias explicaciones siguen siendo plausibles. Los fondos podrían haberse reubicado en direcciones de almacenamiento en frío no rastreadas, haberse transferido de forma preventiva a través de un hacker de sombrero blanco tras la intrusión, o haberse movido sin autorización. Las pruebas disponibles no permiten determinar qué escenario se produjo.

Es fundamental señalar que un saldo cero en las direcciones identificadas no demuestra que 81 000 carteras de clientes fueran vaciadas por atacantes maliciosos. Además, un análisis de los datos históricos muestra que, en conjunto, las carteras solo habían albergado, como máximo, criptomonedas por valor de unos cientos de dólares durante el último mes, con un máximo trimestral ligeramente superior a los 250 000 dólares.

¿Qué ha confirmado Unocoin sobre las transacciones de Bitgo?

La actualización de seguridad de Unocoin del 12 de noviembre introdujo otra complicación sin resolver. Los investigadores identificaron transacciones salientes desde una dirección de Ethereum asociada a su infraestructura de carteras de Bitgo, utilizada anteriormente para financiar la actividad de tokens ERC-20.

La plataforma de intercambio remitió esas transacciones al custodio de criptomonedas Bitgo para su investigación. Sin embargo, las cuentas empresariales congeladas y la visibilidad limitada de los mecanismos de cambio de direcciones de Bitgo han complicado los esfuerzos por reconstruir el movimiento completo de los activos.

Unocoin afirma que está reconstruyendo su infraestructura de servidores, un proceso que se prevé que requiera entre cuatro y cinco días laborables. Mientras tanto, según se informa, los inicios de sesión de los clientes, las operaciones y las retiradas de fondos siguen sin estar disponibles, y los visitantes del sitio web también informan de errores 504 de tiempo de espera de la puerta de enlace de Cloudflare.

Este episodio se suma a anteriores incidentes de seguridad que han afectado a plataformas de intercambio indias, como Wazirx y CoinDCX, lo que hace que la verificación independiente sea especialmente importante.

Por el momento, las cuestiones fundamentales se refieren a la autorización de las transacciones, los saldos de custodia confirmados, la posible exposición de datos y el restablecimiento del servicio. Hasta que los investigadores concilien los activos de Unocoin con las pruebas de la cadena de bloques, ni las garantías de la empresa ni el panel de control vacío de Arkham pueden establecer de forma concluyente el resultado financiero.