توقف همه خدمات Unocoin؛ بررسی انتقال‌های غیرمجاز خارج از BitGo
صرافی Unocoin که همه خدمات خود را متوقف کرده، می‌گوید انتقال‌های مورد اختلاف خارج از سامانه BitGo امضا و به شبکه ارسال شده‌اند؛ درحالی‌که مسدودسازی حساب سازمانی آن در BitGo تاکنون مؤثر بوده است.
خلاصه محتوا
- Unocoin پس از شناسایی فعالیت غیرمجاز در ۶ نوامبر، درخواست مسدودسازی حساب‌های خود را ارائه کرد و در ۹ نوامبر همه خدماتش را متوقف کرد.
- طبق مستندات BitGo، ترکیب کلید کاربر و کلید پشتیبان امکان امضای تراکنش بدون مشارکت BitGo و خارج از سیاست‌های برداشت آن را فراهم می‌کند.
- میزان خسارت، احتمال افشای اطلاعات و زمان ازسرگیری خدمات هنوز مشخص نیست؛ نگهداری بیش از ۹۰ درصد دارایی رمزارزی مشتریان در ذخیره‌سازی سرد نیز به‌تنهایی وضعیت زیان را روشن نمی‌کند.
صرافی Unocoin در به‌روزرسانی ۱۳ نوامبر ۲۰۲۶ اعلام کرد انتقال‌های مورد اختلاف کیف پول‌هایش خارج از BitGo امضا و به شبکه ارسال شده‌اند. به گفته این صرافی، مسدودسازی حساب سازمانی آن در BitGo تاکنون مؤثر بوده، اما ظاهراً از سازوکار پشتیبان دسترسی به دارایی‌ها سوءاستفاده شده است.
Unocoin نخستین‌بار در ۶ نوامبر فعالیت غیرمجاز را شناسایی کرد و از BitGo و Fireblocks خواست حساب‌های سازمانی‌اش را مسدود کنند. این صرافی پس از مشاهده فعالیت غیرمجاز بیشتر، در ۹ نوامبر همه خدمات خود را به حالت تعلیق درآورد.
این صرافی همچنین گزارش داد که در ۱۲ نوامبر، تراکنش‌های خروجی را از یک آدرس اتریوم در زیرساخت کیف پول BitGo خود شناسایی کرده است؛ آدرسی که برای تأمین وجوه توکن‌های ERC-20 استفاده می‌شد. توضیح روز بعد صرافی، این انتقال‌ها را به امضای تراکنش‌ها خارج از BitGo نسبت می‌دهد، اما نحوه استفاده احتمالی از دسترسی پشتیبان هنوز روشن نیست.
چرا مسدودسازی حساب لزوماً مانع همه انتقال‌ها نمی‌شود
مستندات کیف پول BitGo سه کلید را معرفی می‌کند: کلید کاربر، کلید پشتیبان و کلید BitGo. تراکنش‌های معمول با کلید کاربر و کلید BitGo امضا می‌شوند تا شرط امضای دو کلید از سه کلید برقرار شود. بااین‌حال، کلید پشتیبان می‌تواند همراه با هرکدام از دو کلید دیگر نیز به کار برود.
ترکیب کلید کاربر و کلید پشتیبان، امضای تراکنش را بدون نیاز به کلید BitGo ممکن می‌کند. در این مسیر بازیابی، شرط دو امضا از سه امضا همچنان برقرار است؛ فقط ترکیب کلیدها تغییر می‌کند و BitGo در فرایند امضا مشارکت ندارد.
BitGo در مستندات سیاست‌های برداشت خود توضیح می‌دهد که این سیاست‌ها فقط بر تراکنش‌هایی اعمال می‌شوند که با مشارکت این شرکت انجام می‌گیرند. بنابراین تراکنش‌های بازیابی با کلید کاربر و کلید پشتیبان، مشمول سیاست‌های تنظیم‌شده نزد BitGo نیستند.
هدف این قابلیت، حفظ دسترسی به دارایی‌ها هنگام در دسترس نبودن ارائه‌دهنده است. همین ویژگی توضیح می‌دهد چرا مسدودسازی حساب را نمی‌توان محدودیتی فراگیر بر تمام تراکنش‌های قابل امضا با کلیدهای کیف پول دانست. البته این توضیح بر مستندات عمومی BitGo استوار است و بازسازی رخداد Unocoin نیست؛ کلیدها و فرایند دقیق استفاده‌شده در این حادثه هنوز مشخص نشده‌اند.
خسارت و زمان بازگشت خدمات هنوز مشخص نیست
Unocoin در گزارش ۱۲ نوامبر اعلام کرد بیش از ۹۰ درصد دارایی‌های رمزارزی مشتریان در ذخیره‌سازی سرد نگهداری می‌شد. بااین‌حال، بررسی وضعیت کامل دارایی‌ها و میزان احتمالی آسیب همچنان ادامه داشت؛ بنابراین این آمار به‌تنهایی نتیجه ارزیابی زیان را مشخص نمی‌کند.
بر اساس آخرین به‌روزرسانی، تلاش برای بازگرداندن خدمات ادامه دارد. نحوه دسترسی به مسیر بازیابی مورد ظن، میزان زیان رمزارزی، احتمال افشای اطلاعات و زمان ازسرگیری خدمات همچنان از پرسش‌های بی‌پاسخ این رخداد هستند.
