Unocoin geeft cryptoverlies van $200.000 toe, waarschuwt voor datalek

Unocoins onthulling van 200.000 dollar zet eerdere veiligheidsgaranties op losse schroeven

De bekendmaking van Unocoin op 14 november wijkt aanzienlijk af van de aanvankelijke beoordeling van het bedrijf na het beveiligingsincident van 6 november. Op 9 november hield de in Bengaluru gevestigde beurs vol dat haar ingrijpen bij bewaarinstellingen verliezen aan cryptovaluta had voorkomen.

Uit daaropvolgend forensisch onderzoek bleek echter dat er ongeautoriseerde transacties hadden plaatsgevonden waarbij drie operationele hot wallets betrokken waren die werden gebruikt voor onder meer opnames door klanten. Het geschatte verlies van $200.000 vertegenwoordigt volgens Unocoin aanzienlijk minder dan 1% van de cryptovaluta-activa die namens klanten worden aangehouden.

De beurs beloofde de financiële schade op zich te nemen in plaats van de verliezen door te berekenen aan rekeninghouders. „Unocoin zal het vastgestelde verlies volledig uit eigen middelen financieren”, verklaarde het bedrijf, eraan toevoegend dat de getroffen cryptovalutasaldi niet zouden worden verlaagd.

Unocoin meldde ook dat het erin geslaagd is een deel van de getroffen middelen te bevriezen in samenwerking met partners uit de sector, hoewel het geen informatie vrijgaf over het teruggewonnen of geblokkeerde bedrag.

Acht jaar oude back-upsleutels blijken kritieke kwetsbaarheid te zijn

Misschien wel de meest ingrijpende bevinding van het onderzoek betreft versleutelde back-upsleutels die ongeveer acht jaar geleden zijn gegenereerd, op papier zijn afgedrukt en in een beveiligde fysieke opslag zijn geplaatst. Onderzoekers stelden vast dat deze door Unocoin beheerde sleutels waren gecompromitteerd en vervolgens werden gebruikt om ongeautoriseerde cryptocurrency-overboekingen goed te keuren.

De beurs erkende dat onderzoekers nog niet precies hebben vastgesteld hoe toegang tot de sleutels is verkregen, ondanks het feit dat er een decoderingswachtwoord is geïdentificeerd binnen de gecompromitteerde infrastructuur. De bevindingen bevestigen ook de verklaring van Bitgo van 13 november dat er nooit is ingebroken in zijn bewaarsystemen.

Onder de ‘twee-van-de-drie’-regeling voor meervoudige handtekeningen van Unocoin beheerde de beurs twee ondertekeningssleutels, waardoor transacties konden worden geautoriseerd zonder tussenkomst van Bitgo. De bewaarder legde eerder uit dat de verdachte transacties werden ondertekend met behulp van de gebruikers- en back-upsleutels van Unocoin, voordat ze onafhankelijk naar blockchain-netwerken werden verzonden.

Blootstelling van klantgegevens roept aanvullende vragen op

Naast de diefstal van cryptovaluta heeft Unocoin erkend dat delen van zijn infrastructuur mogelijk geregistreerde e-mailadressen, woonadressen, versleutelde wachtwoorden, rekeningsaldi en know-your-customer (KYC)-informatie hebben blootgesteld.

Het bedrijf benadrukte echter dat onderzoekers geen bewijs hebben gevonden van ongeoorloofde toegang tot daadwerkelijke identiteitsverificatiedocumenten. Klanten werden gewaarschuwd voor gerichte phishingpogingen waarbij mogelijk gecompromitteerde persoonlijke gegevens werden misbruikt.

Ondertussen gaat Unocoin door met het herstellen van zijn infrastructuur, het uitvoeren van beveiligingsaudits en het onderzoeken van de omstandigheden rond de gecompromitteerde ondertekeningssleutels, alvorens de diensten te herstellen.

De meest recente verklaring van de beurs geeft antwoord op de directe vraag of er cryptovaluta is gestolen, maar laat belangrijke onzekerheden bestaan over de blootstelling van gegevens, de beveiliging van sleutels en het herstel van de bedrijfsvoering. De toezegging om klanten te vergoeden pakt het financiële tekort aan, terwijl de onopgeloste vraag over de wijze waarop de inbreuk plaatsvond een complexere uitdaging vormt voor het herstel van het vertrouwen.