• A Unocoin disse que fundos saíram de uma carteira da BitGo congelada desde 6 de novembro por meio de uma via alternativa de recuperação.

• A BitGo congelou a conta da Unocoin às 11:29 UTC de 6 de novembro; a Fireblocks a congelou às 11:24 UTC.

• O Assistente de Recuperação de Carteira da BitGo exige a chave do usuário, a chave de backup, a senha da carteira e o endereço da carteira.

Fundos foram transferidos apesar do bloqueio da BitGo

A Unocoin confirmou na sexta-feira que fundos saíram de uma de suas carteiras, embora a BitGo tivesse congelado a conta. Essa é a atualização mais contundente até agora sobre o incidente de segurança que a exchange indiana vem investigando desde 6 de novembro. Em uma declaração publicada no X, a empresa disse que o dinheiro foi transferido de uma carteira que a BitGo havia confirmado estar congelada e que parece ter sido explorada uma via alternativa de recuperação nas carteiras multisig da BitGo. A BitGo, negociada na NYSE sob o código BTGO, não contestou publicamente esse relato. A Unocoin não identificou quem controlava a chave nem informou quanto em criptoativos foi levado.

A cronologia é importante. A Unocoin detectou atividades suspeitas em 6 de novembro e pediu a ambos os seus custodiantes que congelassem as contas corporativas; os congelamentos entraram em vigor às 11:24 UTC para a Fireblocks e às 11:29 UTC para a BitGo, e nenhum dos custodiantes havia constatado perdas naquele momento. As carteiras multisig desse tipo incluem uma rota de recuperação destinada a permitir que um cliente acesse os fundos caso o custodiante fique indisponível. A documentação do próprio Wallet Recovery Wizard da BitGo descreve como transferir ativos “sem a BitGo”, usando a chave privada do usuário e a chave de backup, e afirma que essas transações de recuperação ignoram quaisquer políticas acordadas com a BitGo. O assistente exige a chave pública de backup, a chave pública do usuário, a frase-senha da carteira e a chave pública da BitGo ou o endereço da carteira; a transação resultante envia os ativos para um novo endereço. A Unocoin afirma que esse caminho “parece ter sido explorado” e que agora está verificando como ele foi acessado e utilizado. A empresa confirmou que mais de 90% das criptomoedas dos clientes ficam em armazenamento a frio.

Suspensões, reconstrução de servidores e rastros on-chain

As operações continuam suspensas. A Unocoin detectou pela primeira vez a atividade não autorizada em 6 de novembro e suspendeu todos os serviços na segunda-feira, 9 de novembro, depois de identificar novas movimentações; na quinta-feira, havia divulgado transações de saída de um endereço Ethereum na infraestrutura de carteiras BitGo. Segundo a empresa, seus servidores haviam sido comprometidos. Ela informou que o mesmo endereço havia sido usado para financiar tokens ERC-20 e que as transações sob investigação foram assinadas e transmitidas fora da plataforma da BitGo. A Unocoin suspeita que o recurso de recuperação tenha sido usado indevidamente, mas ainda não determinou como as transferências foram realizadas nem se há ativos digitais desaparecidos. A empresa culpa a configuração de endereços de troco da BitGo por dificultar a reconstrução do histórico completo das transações e afirma que está reconstruindo toda a sua infraestrutura de servidores, uma tarefa que espera levar de quatro a cinco dias úteis. Não foi anunciada nenhuma data para a retomada de depósitos e saques.

Dados on-chain identificaram cerca de 80.986 endereços vinculados à Unocoin, com um valor total de zero em 12 de novembro. A mesma análise mostra que essas carteiras identificadas detiveram, no máximo, algumas centenas de dólares no último mês, com um pico trimestral pouco acima de US$ 250.000; portanto, o conjunto representa apenas uma pequena parcela da atividade da corretora. Em 5 de novembro, a agência de cibersegurança da Índia havia alertado para uma campanha assistida por IA que tinha como alvo corretoras de criptomoedas e outras empresas financeiras, embora não tenha sido estabelecida nenhuma ligação com este incidente. Separadamente, a BitGo informou um lucro líquido de US$ 44,1 milhões no terceiro trimestre, impulsionado por um ganho não realizado de US$ 71,5 milhões em seu tesouro de ativos digitais. O assistente de recuperação no centro do caso é uma entre várias rotas de recuperação de carteiras que transferem ativos sem a aprovação do custodiante.

O incidente parece indicar uma falha de um recurso, não uma violação do próprio congelamento: os fundos saíram por um caminho que a BitGo documenta abertamente, o que significa que o perímetro de segurança agora depende de quão bem o cliente protege uma chave de backup mantida fora do controle do custodiante. Essa ambiguidade prepara o terreno para a mesma disputa de responsabilização vista pelo setor após o ataque hacker de US$ 234 milhões à WazirX, em julho de 2024, quando a WazirX e sua parceira de custódia, a Liminal, passaram meses culpando uma à outra. Até que a Unocoin divulgue um valor das perdas e identifique quem detinha a chave, o endereço Ethereum usado para financiar tokens ERC-20 continua sendo a única evidência on-chain do destino do dinheiro.