Unocoin: strata 200 tys. dol. w krypto, ostrzega przed wyciekiem danych klientów

Ujawnienie przez Unocoin informacji o stratach w wysokości 200 000 dolarów podważa wcześniejsze zapewnienia dotyczące bezpieczeństwa

Ujawnienie informacji przez Unocoin 14 listopada stanowi znaczące odejście od wstępnej oceny sytuacji dokonanej przez firmę po incydencie bezpieczeństwa z 6 listopada. 9 listopada giełda z siedzibą w Bengaluru utrzymywała, że jej interwencja u dostawców usług powierniczych zapobiegła stratom kryptowalut.

Późniejsze badania kryminalistyczne ujawniły jednak nieautoryzowane transakcje dotyczące trzech aktywnych portfeli typu hot wallet, wykorzystywanych m.in. do realizacji wypłat dla klientów. Według Unocoin szacowana strata w wysokości 200 000 dolarów stanowi znacznie mniej niż 1% aktywów kryptowalutowych przechowywanych w imieniu klientów.

Giełda zobowiązała się pokryć straty finansowe, zamiast obciążać nimi posiadaczy rachunków. „Unocoin w całości pokryje zidentyfikowaną stratę ze środków własnych” – oświadczyła firma, dodając, że salda kryptowalut, których dotyczyła strata, nie ulegną zmniejszeniu.

Unocoin poinformował również o pomyślnym zamrożeniu części dotkniętych funduszy dzięki współpracy z partnerami branżowymi, choć nie ujawnił kwoty odzyskanej ani zablokowanej.

Ośmioletnie klucze zapasowe okazują się krytyczną luką w zabezpieczeniach

Być może najbardziej istotnym ustaleniem śledztwa jest kwestia zaszyfrowanych kluczy podpisu kopii zapasowych, wygenerowanych około osiem lat temu, wydrukowanych na papierze i umieszczonych w bezpiecznym fizycznym magazynie. Śledczy ustalili, że te klucze, nad którymi kontrolę sprawowała firma Unocoin, zostały naruszone, a następnie wykorzystane do autoryzacji nieautoryzowanych transferów kryptowalut.

Giełda przyznała, że śledczy nie ustalili jeszcze dokładnie, w jaki sposób uzyskano dostęp do kluczy, mimo zidentyfikowania hasła deszyfrującego w naruszonej infrastrukturze. Ustalenia te potwierdzają również wyjaśnienie firmy Bitgo z 13 listopada, że jej systemy powiernicze nigdy nie zostały naruszone.

Zgodnie z zastosowanym przez Unocoin mechanizmem wielopodpisowym „dwa z trzech”, giełda kontrolowała dwa klucze podpisujące, co pozwalało na autoryzację transakcji bez udziału Bitgo. Podmiot przechowujący wyjaśnił wcześniej, że podejrzane transakcje zostały podpisane przy użyciu kluczy użytkownika i kluczy zapasowych Unocoin, a następnie niezależnie przesłane do sieci blockchain.

Ujawnienie danych klientów rodzi dodatkowe pytania

Oprócz kradzieży kryptowalut firma Unocoin przyznała, że część jej infrastruktury mogła ujawnić zarejestrowane adresy e-mail, adresy zamieszkania, zaszyfrowane hasła, salda kont oraz informacje wynikające z procedury poznaj swojego klienta (KYC).

Firma podkreśliła jednak, że śledczy nie zidentyfikowali dowodów na nieuprawniony dostęp do rzeczywistych dokumentów potwierdzających tożsamość. Klienci zostali ostrzeżeni przed ukierunkowanymi próbami phishingu wykorzystującymi potencjalnie ujawnione dane osobowe.

Tymczasem Unocoin kontynuuje odbudowę swojej infrastruktury, przeprowadza audyty bezpieczeństwa oraz bada okoliczności związane z naruszeniem kluczy podpisujących przed przywróceniem usług.

Najnowsze oświadczenie giełdy rozstrzyga bezpośrednią kwestię, czy doszło do kradzieży kryptowaluty, pozostawia jednak istotne wątpliwości dotyczące ujawnienia danych, bezpieczeństwa kluczy oraz przywrócenia sprawności operacyjnej. Obietnica zwrotu środków klientom rozwiązuje problem strat finansowych, natomiast nierozstrzygnięta kwestia sposobu naruszenia stanowi bardziej skomplikowane wyzwanie dla przywrócenia zaufania.