Unocoin conferma breach, Arkham rileva 81.000 portafogli vuoti

Fondata nel 2013, Unocoin, con sede a Bengaluru, è tra le prime piattaforme di scambio di criptovalute dell’India. I suoi recenti problemi di sicurezza hanno sollevato scomode domande sulla custodia, sulle vulnerabilità dell’infrastruttura e sull’affidabilità dei saldi dei portafogli monitorati pubblicamente.

I problemi sono iniziati il 6 novembre, quando Unocoin ha rilevato attività non autorizzate e ha richiesto il blocco dei propri conti aziendali su Fireblocks e Bitgo rispettivamente alle 11:24 UTC e alle 11:29 UTC. Secondo quanto riferito, entrambi i fornitori di servizi di custodia hanno confermato le restrizioni, senza che in quella fase fossero state individuate perdite.

Tre giorni dopo, ulteriori attività sospette hanno spinto Unocoin a pubblicare un aggiornamento, a sospendere i servizi e a disabilitare gli accessi degli utenti. L’azienda ha ammesso che l’infrastruttura era stata compromessa, ma ha ribadito che «non sono andati persi fondi in criptovaluta».

Unocoin ha perso i fondi dei clienti o Arkham non sta cogliendo il quadro generale?

Giovedì, l’account di monitoraggio della blockchain Onchain Lens ha evidenziato un dato insolito sulla dashboard di Unocoin di Arkham Intelligence. Circa 80.986 indirizzi attribuiti mostravano una valutazione complessiva pari a 0 dollari, accompagnata dal messaggio «Nessun asset trovato». Bitcoin.com News può confermare che la dashboard di Arkham mostra l’entità Unocoin con quasi 81.000 portafogli vuoti.

L’osservazione ha immediatamente suscitato speculazioni su un possibile prelievo dall’exchange. Tuttavia, l’attribuzione degli indirizzi da parte di Arkham non rappresenta necessariamente l’insieme completo delle disposizioni di custodia di Unocoin, in particolare se le risorse fossero state trasferite a portafogli precedentemente non identificati.

Diverse spiegazioni rimangono plausibili. I fondi potrebbero essere stati trasferiti in indirizzi di cold storage non tracciabili, trasferiti a scopo difensivo tramite un hacker white hat in seguito all’intrusione, oppure spostati senza autorizzazione. Le prove disponibili non consentono di stabilire quale scenario si sia verificato.

Fondamentalmente, un saldo pari a zero negli indirizzi contrassegnati non dimostra che 81.000 portafogli dei clienti siano stati svuotati da malintenzionati. Inoltre, un’analisi dei dati storici mostra che, nell’ultimo mese, i portafogli avevano detenuto complessivamente solo criptovalute per un valore di poche centinaia di dollari al massimo, con un picco trimestrale appena superiore a 250.000 dollari.

Cosa ha confermato Unocoin riguardo alle transazioni Bitgo?

L’aggiornamento sulla sicurezza di Unocoin del 12 novembre ha introdotto un’altra complicazione irrisolta. Gli investigatori hanno identificato transazioni in uscita da un indirizzo Ethereum associato alla propria infrastruttura di portafogli Bitgo, precedentemente utilizzata per finanziare attività relative ai token ERC-20.

L’exchange ha segnalato tali transazioni al custode di criptovalute Bitgo affinché venissero esaminate. Tuttavia, i conti aziendali congelati e la visibilità limitata sui meccanismi di cambio indirizzo di Bitgo hanno complicato gli sforzi volti a ricostruire il flusso completo delle risorse.

Unocoin afferma di stare ricostruendo la propria infrastruttura server, un processo che dovrebbe richiedere dai quattro ai cinque giorni lavorativi. Nel frattempo, secondo quanto riferito, l’accesso degli utenti, le operazioni di trading e i prelievi rimangono indisponibili, mentre i visitatori del sito web segnalano anche errori 504 Gateway Timeout di Cloudflare.

L’episodio fa seguito a precedenti incidenti di sicurezza che hanno coinvolto exchange indiani, tra cui Wazirx e CoinDCX, rendendo particolarmente importante una verifica indipendente.

Per ora, le domande fondamentali riguardano l’autorizzazione delle transazioni, i saldi di custodia confermati, la possibile esposizione dei dati e il ripristino del servizio. Finché gli investigatori non avranno riconciliato le disponibilità di Unocoin con le prove on-chain, né le rassicurazioni dell’azienda né la dashboard vuota di Arkham potranno stabilire in modo definitivo l’esito finanziario.