Unocoin: BitGo-Sperre bleibt bestehen, aber Backup-Key ermöglichte On-Chain-Abfluss

Unocoin sagt, Kryptowerte hätten eine seiner Wallets verlassen, obwohl es sein BitGo-Konto in seinem neuesten Update zum erlittenen Exploit eingefroren hatte.

Unicoin geht davon aus, dass ein Backup-Wiederherstellungspfad in den Multisignature-Wallets von BitGo (NYSE: BTGO) genutzt wurde, um die Mittel zu bewegen, weiß aber nicht, wer der Täter ist.

Wie konnte Kryptowert eine Wallet verlassen, die eingefroren war?

Unocoin bat BitGo am 6. November, seine Firmenkonten einzufrieren, nachdem verdächtige Aktivitäten entdeckt wurden. Sein Blog sagt die Einfrierungen begannen um 11:24 UTC für Fireblocks und um 11:29 UTC für BitGo. Beide Verwahrer bestätigten die Einfrierungen, und zu diesem Zeitpunkt wurden keine Verluste festgestellt.

Am 13. November sagte Unocoin jedoch dass sein Geld bewegt wurde aus der Wallet, die BitGo als eingefroren bestätigt hatte. Unocoin sagt, dass BitGo’s Multisignature-Wallets einen Backup-Pfad haben, der einem Kunden ermöglichen soll, auf die Mittel zuzugreifen, selbst wenn BitGo offline geht.

Unocoin gibt an, dass dieser Weg „ausgenutzt worden zu sein scheint“ und prüft nun, wie er erreicht und genutzt wurde.

BitGo’s eigene Dokumente schieben die Schuld auf seine Kunden. Sein Wallet Recovery Wizard ermöglicht es Kunden, Vermögenswerte „ohne BitGo“ aus ihren Wallets abzuheben. Dabei werden der Benutzerschlüssel und der Backup-Schlüssel verwendet, um Gelder auf eine neue Adresse zu übertragen.

Laut BitGo’s Dokumenten „umgehen diese Wiederherstellungs-Transaktionen alle Richtlinien, die Sie mit BitGo vereinbart haben.“ Der Recovery Wizard erfordert den öffentlichen Backup-Schlüssel, den öffentlichen Benutzerschlüssel, die Wallet-Passphrase sowie entweder den öffentlichen BitGo-Schlüssel oder die Wallet-Adresse, um zu funktionieren.

Wer trägt die Schuld am Verlust von Unocoin’s Kryptowährung?

Unocoin hat nicht genannt, wer den Schlüssel kontrolliert hat, und auch nicht angegeben, wie viel Kryptowährung verloren ging. Das Unternehmen hat jedoch bestätigt, dass mehr als 90 % des Kunden-Krypto in Cold Storage gelagert sind.

Nachdem Unocoin am 9. November alle Dienste eingestellt hatte, verfolgte es ausgehende Transaktionen von einer Ethereum-Adresse in seinen BitGo-Wallets und stellte bis zum 12. November fest, dass diese Adresse zur Finanzierung von ERC-20-Token verwendet wurde.

Unocoin gibt an, dass die Change-Address-Konfiguration von BitGo den Wiederaufbau der vollständigen Transaktionshistorie erschwert. Derzeit wird der gesamte Server-Stack neu aufgebaut, was voraussichtlich vier bis fünf Werktage dauern wird.

Am 12. November wies Arkham Intelligence für etwa 80.986 mit Unocoin verknüpfte Adressen einen Gesamtwert von null aus. Derselbe Bericht ergab jedoch, dass diese als Wallets gekennzeichneten Konten im vergangenen Monat höchstens einige hundert Dollar wert waren. Ihr Spitzenwert über drei Monate lag bei etwas mehr als 250.000 US-Dollar.

In einer ähnlichen Situation wie bei BitGo und Unocoin warfen sich WazirX und sein Custody-Partner Liminal monatelang gegenseitig die Schuld nach dem 234 Millionen Dollar WazirX-Hack im Juli 2024. Liminal behauptete, alle Transaktionen seien auf Seiten des Kunden entstanden, während WazirX argumentierte, der Verlust sei auf einen Fehler in der Liminal-Plattform zurückzuführen.

Unabhängig davon hat BitGo kürzlich seine Ergebnisse für das dritte Quartal bekannt gegeben. Es verbuchte einen Nettogewinn von 44,1 Millionen US-Dollar, getrieben durch einen Anstieg des Wertes seiner digitalen Asset-Tresore. Im Bericht des Unternehmens wird der unrealisierte Gewinn auf 71,5 Millionen US-Dollar beziffert.

Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.