Unocoin mất 200.000 USD tiền điện tử, cảnh báo rò rỉ dữ liệu khách hàng

Thông báo về khoản lỗ 200.000 USD của Unocoin làm thay đổi các cam kết bảo mật trước đó

Thông báo ngày 14/11 của Unocoin đánh dấu một sự thay đổi đáng kể so với đánh giá ban đầu của công ty sau sự cố an ninh ngày 6/11. Vào ngày 9/11, sàn giao dịch có trụ sở tại Bengaluru này khẳng định rằng việc can thiệp của họ với các nhà cung cấp dịch vụ lưu ký đã ngăn chặn được tổn thất tiền điện tử.

Tuy nhiên, các cuộc kiểm tra pháp y sau đó đã phát hiện các giao dịch trái phép liên quan đến ba ví nóng đang hoạt động, được sử dụng cho các hoạt động bao gồm việc rút tiền của khách hàng. Theo Unocoin, khoản thiệt hại ước tính $200,000 chỉ chiếm ít hơn 1% tổng tài sản tiền điện tử được lưu giữ thay mặt khách hàng.

Sàn giao dịch cam kết sẽ tự chịu toàn bộ thiệt hại tài chính thay vì chuyển gánh nặng này sang cho chủ tài khoản. “Unocoin sẽ bù đắp toàn bộ khoản lỗ đã xác định từ nguồn vốn của chính mình,” công ty tuyên bố, đồng thời khẳng định số dư tiền điện tử bị ảnh hưởng sẽ không bị giảm.

Unocoin cũng báo cáo đã đóng băng thành công một phần số tiền bị ảnh hưởng thông qua sự phối hợp với các đối tác trong ngành, mặc dù công ty không tiết lộ số tiền đã thu hồi hoặc bị phong tỏa.

Khóa dự phòng 8 năm tuổi được xác định là lỗ hổng nghiêm trọng

Có lẽ phát hiện quan trọng nhất của cuộc điều tra liên quan đến các khóa ký dự phòng được mã hóa, được tạo ra cách đây khoảng tám năm, in trên giấy và lưu trữ trong kho vật lý an toàn. Các nhà điều tra xác định rằng các khóa do Unocoin kiểm soát này đã bị xâm phạm và sau đó được sử dụng để ủy quyền cho các giao dịch tiền điện tử trái phép.

Sàn giao dịch thừa nhận rằng các nhà điều tra vẫn chưa xác định chính xác cách thức các khóa này bị truy cập, mặc dù đã phát hiện ra cụm mật khẩu giải mã trong hệ thống bị xâm phạm. Các phát hiện này cũng củng cố giải thích của Bitgo vào ngày 13 tháng 11 rằng hệ thống lưu ký của họ chưa bao giờ bị xâm nhập.

Theo thỏa thuận đa chữ ký “hai trong ba” của Unocoin, sàn giao dịch này kiểm soát hai khóa ký, cho phép các giao dịch được ủy quyền mà không cần sự tham gia của Bitgo. Nhà lưu ký trước đó đã giải thích rằng các giao dịch đáng ngờ đã được ký bằng khóa người dùng và khóa dự phòng của Unocoin trước khi được phát độc lập lên các mạng blockchain.

Việc lộ dữ liệu khách hàng đặt ra thêm nhiều câu hỏi

Ngoài vụ trộm tiền điện tử, Unocoin thừa nhận rằng một phần cơ sở hạ tầng của họ có thể đã để lộ các địa chỉ email đã đăng ký, địa chỉ cư trú, mật khẩu được mã hóa, số dư tài khoản và thông tin xác minh danh tính khách hàng (KYC).

Tuy nhiên, công ty nhấn mạnh rằng các nhà điều tra chưa phát hiện bằng chứng về việc truy cập trái phép vào các tài liệu xác minh danh tính thực tế. Khách hàng đã được cảnh báo về các nỗ lực lừa đảo nhắm mục tiêu lợi dụng thông tin cá nhân có thể đã bị lộ.

Trong khi đó, Unocoin tiếp tục tái thiết hạ tầng, tiến hành kiểm toán an ninh và điều tra các tình tiết liên quan đến việc các khóa ký bị xâm phạm trước khi khôi phục dịch vụ.

Lời thừa nhận mới nhất của sàn giao dịch này đã giải quyết câu hỏi cấp bách về việc liệu tiền điện tử có bị đánh cắp hay không, nhưng vẫn để lại những bất định quan trọng liên quan đến việc lộ dữ liệu, bảo mật khóa và quá trình khôi phục hoạt động. Lời hứa bồi thường cho khách hàng giải quyết vấn đề thiếu hụt tài chính, trong khi phương thức xâm nhập chưa được làm rõ đặt ra thách thức phức tạp hơn trong việc khôi phục niềm tin.