Unocoin confirme une intrusion, Arkham recense 81 000 portefeuilles vides

Fondée en 2013, la société Unocoin, basée à Bengaluru, figure parmi les premières plateformes d’échange de cryptomonnaies en Inde. Ses derniers problèmes de sécurité ont soulevé des questions délicates concernant la conservation des actifs, les vulnérabilités de l’infrastructure et la fiabilité des soldes de portefeuilles accessibles au public.

Les problèmes ont commencé le 6 novembre, lorsque Unocoin a détecté une activité non autorisée et a demandé le gel de ses comptes d’entreprise Fireblocks et Bitgo, respectivement à 11 h 24 UTC et 11 h 29 UTC. Les deux prestataires de services de conservation auraient confirmé ces restrictions, aucune perte n’ayant été identifiée à ce stade.

Trois jours plus tard, de nouvelles activités suspectes ont poussé Unocoin à publier un communiqué, à suspendre ses services et à désactiver les connexions de ses clients. La société a reconnu que son infrastructure avait été compromise, mais a réaffirmé qu’« aucun fonds en cryptomonnaie n’avait été perdu ».

Unocoin a-t-il perdu les fonds de ses clients ou Arkham passe-t-il à côté de l’essentiel ?

Jeudi, le compte de surveillance de la blockchain Onchain Lens a mis en évidence une anomalie sur le tableau de bord Unocoin d’Arkham Intelligence. Environ 80 986 adresses attribuées affichaient une valeur totale de 0 $, accompagnées du message « Aucun actif trouvé ». Bitcoin.com News peut confirmer que le tableau de bord d’Arkham indique que l’entité Unocoin compte près de 81 000 portefeuilles vides.

Cette observation a immédiatement suscité des spéculations quant à un éventuel retrait massif de la plateforme d’échange. Cependant, l’attribution des adresses par Arkham ne reflète pas nécessairement l’ensemble des dispositions de conservation d’Unocoin, en particulier si des actifs ont été transférés vers des portefeuilles non identifiés auparavant.

Plusieurs explications restent plausibles. Les fonds auraient pu être transférés vers des adresses de stockage à froid non tracées, transférés à titre préventif par un hacker white hat à la suite de l’intrusion, ou encore déplacés sans autorisation. Les éléments disponibles ne permettent pas de déterminer quel scénario s’est produit.

Il est essentiel de noter qu’un solde nul sur l’ensemble des adresses identifiées ne prouve pas que 81 000 portefeuilles de clients aient été vidés par des attaquants malveillants. De plus, l’examen des données historiques montre que ces portefeuilles ne contenaient collectivement que quelques centaines de dollars de cryptomonnaies au maximum au cours du dernier mois, avec un pic sur trois mois à peine supérieur à 250 000 dollars.

Qu’a confirmé Unocoin concernant les transactions Bitgo ?

La mise à jour de sécurité d’Unocoin du 12 novembre a mis en évidence une autre complication non résolue. Les enquêteurs ont identifié des transactions sortantes provenant d’une adresse Ethereum associée à son infrastructure de portefeuilles Bitgo, précédemment utilisée pour financer des activités liées aux jetons ERC-20.

La plateforme d’échange a transmis ces transactions au dépositaire de cryptomonnaies Bitgo afin qu’il mène une enquête. Cependant, le gel des comptes d’entreprise et la visibilité limitée sur les mécanismes de changement d’adresse de Bitgo ont compliqué les efforts visant à reconstituer l’intégralité des mouvements d’actifs.

Unocoin indique qu’elle est en train de reconstruire son infrastructure de serveurs, un processus qui devrait prendre quatre à cinq jours ouvrés. En attendant, les connexions des clients, les opérations de trading et les retraits resteraient indisponibles, les visiteurs du site web signalant également des erreurs « Cloudflare 504 Gateway Timeout ».

Cet épisode fait suite à des incidents de sécurité antérieurs impliquant des plateformes indiennes, notamment Wazirx et CoinDCX, ce qui rend une vérification indépendante particulièrement importante.

Pour l’instant, les questions essentielles portent sur l’autorisation des transactions, la confirmation des soldes en dépôt, l’éventuelle fuite de données et le rétablissement du service. Tant que les enquêteurs n’auront pas recoupé les avoirs d’Unocoin avec les preuves sur la blockchain, ni les assurances de la société ni le tableau de bord vide d’Arkham ne permettront d’établir de manière concluante le bilan financier.