Unocoin admite perda de US$ 200 mil e alerta por dados de clientes

A revelação de US$ 200 mil da Unocoin reescreve garantias de segurança anteriores

A divulgação da Unocoin em 14 de novembro marca um desvio significativo em relação à avaliação inicial da empresa após o incidente de segurança de 6 de novembro. Em 9 de novembro, a corretora sediada em Bengaluru afirmou que sua intervenção junto aos provedores de custódia havia evitado perdas de criptomoedas.

Exames forenses posteriores, no entanto, revelaram transações não autorizadas envolvendo três carteiras “quentes” operacionais utilizadas para atividades que incluíam saques de clientes. A perda estimada em US$ 200 mil representa significativamente menos de 1% dos ativos em criptomoedas mantidos em nome dos clientes, de acordo com a Unocoin.

A corretora se comprometeu a arcar com o prejuízo financeiro, em vez de repassar as perdas aos titulares das contas. “A Unocoin arcará integralmente com a perda identificada com recursos próprios”, declarou a empresa, acrescentando que os saldos de criptomoedas afetados não seriam reduzidos.

A Unocoin também informou ter conseguido congelar uma parte dos fundos afetados por meio da coordenação com parceiros do setor, embora não tenha divulgado o valor recuperado ou bloqueado.

Chaves de backup de oito anos atrás surgem como vulnerabilidade crítica

Talvez a descoberta mais significativa da investigação diga respeito às chaves de assinatura de backup criptografadas, geradas há aproximadamente oito anos, impressas em papel e armazenadas em local físico seguro. Os investigadores determinaram que essas chaves controladas pela Unocoin foram comprometidas e, posteriormente, utilizadas para autorizar transferências não autorizadas de criptomoedas.

A corretora reconheceu que os investigadores ainda não estabeleceram com precisão como as chaves foram acessadas, apesar de terem identificado uma senha de descriptografia dentro da infraestrutura comprometida. As descobertas também reforçam a explicação da Bitgo, de 13 de novembro, de que seus sistemas de custódia nunca foram violados.

De acordo com o esquema de multassinatura “dois de três” da Unocoin, a corretora controlava duas chaves de assinatura, permitindo que as transações fossem autorizadas sem a participação da Bitgo. A custodiadora explicou anteriormente que as transações suspeitas foram assinadas usando as chaves de usuário e de backup da Unocoin antes de serem transmitidas de forma independente para as redes de blockchain.

A exposição de dados de clientes levanta questões adicionais

Além do roubo de criptomoedas, a Unocoin reconheceu que partes de sua infraestrutura podem ter exposto endereços de e-mail registrados, endereços residenciais, senhas criptografadas, saldos de contas e informações de conheça seu cliente (KYC).

No entanto, a empresa enfatizou que os investigadores não identificaram evidências de acesso não autorizado a documentos reais de verificação de identidade. Os clientes foram alertados sobre tentativas direcionadas de phishing que exploravam informações pessoais potencialmente comprometidas.

Enquanto isso, a Unocoin continua reconstruindo sua infraestrutura, realizando auditorias de segurança e investigando as circunstâncias relacionadas às chaves de assinatura comprometidas antes de restaurar os serviços.

A última declaração da corretora esclarece a questão imediata sobre se criptomoedas foram roubadas, mas deixa importantes incertezas em relação à exposição de dados, à segurança das chaves e à recuperação operacional. Sua promessa de reembolsar os clientes aborda o prejuízo financeiro, enquanto a forma ainda não esclarecida como ocorreu o comprometimento representa um desafio mais complexo para restaurar a confiança.