Unocoin、20万ドル相当の暗号資産損失を認め顧客データ漏洩の可能性を警告

Unocoinの20万ドル損失の公表は、以前のセキュリティ保証を覆すものとなった

11月14日のUnocoinによる開示は、11月6日のセキュリティインシデント直後に同社が示した当初の見解から大きく逸脱する内容です。11月9日、バンガロールに拠点を置く同取引所は、カストディプロバイダーへの介入によって仮想通貨の損失を防いだと主張していました。

その後のフォレンジック調査により、顧客の出金などに使用されていた3つのホットウォレットを巻き込んだ不正取引が明らかになりました。Unocoinによると、推定20万ドルの損失額は、顧客のために保有している暗号資産全体の1％をはるかに下回るとしています。

同社は口座保有者に損失を転嫁せず、財務的損害を自社で負担すると約束しました。「Unocoinは特定された損失を自社の資金で全額補填します」と述べ、影響を受けた仮想通貨残高は減額されないことを付け加えました。

また、同社は業界パートナーとの連携により流出資金の一部を凍結できたと報告しましたが、回収または凍結した金額については明かしていません。

8年前に作成されたバックアップキーが重大な脆弱性として浮上

今回の調査で最も重大な発見は、約8年前に生成され、紙に印刷して安全な物理的保管場所に保管されていた暗号化されたバックアップ署名鍵に関するものです。調査チームは、Unocoinが管理していたこれらの鍵が侵害され、その後、不正な暗号資産送金を承認するために使用されたと断定しました。

取引所は、侵害されたインフラ内で復号用パスフレーズが発見されたにもかかわらず、調査当局が鍵へのアクセス経路を正確に特定できていないと認めています。この調査結果は、Bitgoが11月13日に「自社のカストディシステムは一度も侵害されていない」と説明した内容を裏付けるものです。

Unocoinの「3つのうち2つ」というマルチシグネチャ方式の下、同取引所は2つの署名鍵を管理しており、Bitgoの関与なしに取引を承認することが可能でした。カストディアン側は以前、不審な取引はUnocoinのユーザー鍵とバックアップ鍵を使用して署名された後、ブロックチェーンネットワークに独立して送信されたと説明していました。

顧客データの流出がさらなる疑問を投げかける

さらに、同社は自社のインフラの一部から登録済みのメールアドレス、住所、暗号化されたパスワード、口座残高、および顧客確認（KYC）情報が流出した可能性があると認めました。

ただし、同社は調査当局が本人確認書類への不正アクセスを示す証拠を特定していないと強調しました。顧客に対しては、流出した可能性のある個人情報を悪用した標的型フィッシング攻撃に注意するよう警告が発出されています。一方、Unocoinはサービスの復旧に先立ち、インフラの再構築、セキュリティ監査の実施、侵害された署名鍵をめぐる状況の調査を続けています。

今回の発表で、暗号資産が盗まれたかという当面の疑問は解消されたものの、データ漏洩や鍵のセキュリティ、業務復旧に関しては依然として重要な不確実性が残っています。顧客への補償を約束したことで金銭的損失への対応は取られていますが、侵害経路が解明されていないことは、信頼回復に向けたより複雑な課題となっています。