BitGo: As próprias chaves de backup da Unocoin assinaram transferências suspeitas

BitcoinWorldBitGo: As próprias chaves de backup da Unocoin assinaram transferências suspeitas
A BitGo afirmou que as transações de saída suspeitas vinculadas à exchange indiana Unocoin foram assinadas com duas chaves mantidas pela própria exchange e transmitidas à blockchain sem o envolvimento da custodiante, segundo uma declaração de 13 de novembro que a empresa compartilhou no X. A conta empresarial da Unocoin havia sido congelada a pedido da própria exchange em 6 de novembro, e a BitGo afirmou que o congelamento funcionou como previsto. A disputa, detalhada inicialmente pelo Bitcoinist, manteve depósitos e saques suspensos enquanto investigadores tentam determinar como as transferências foram autorizadas.
Os fatos principais: a BitGo afirma que a Unocoin detinha duas das três chaves de assinatura em uma carteira de autocustódia com esquema 2 de 3 e que sua própria chave nunca foi usada. A Unocoin suspeita que um recurso integrado de recuperação da carteira tenha sido usado indevidamente e não confirmou se os fundos dos clientes foram afetados. Fatos principais
Em 6 de nov., a Unocoin pediu à BitGo e à Fireblocks que congelassem suas contas empresariais; a BitGo confirmou que o congelamento funcionou como previsto.
A BitGo afirma que as carteiras usam um esquema de autocustódia 2 de 3, no qual a Unocoin detém as chaves do usuário e de backup, e a BitGo detém a terceira.
Em 12 de nov., foram identificadas transações de saída de um endereço Ethereum na infraestrutura da BitGo da Unocoin.
A Unocoin suspendeu todos os serviços em 9 de nov., após detectar novas atividades não autorizadas, e afirmou que sua infraestrutura havia sido comprometida.
Mais de 90% das criptomoedas dos clientes são mantidas em armazenamento offline, segundo a exchange.
Dois relatos da mesma transferência
Na atualização de 13 de nov., a Unocoin descreveu um mecanismo de recuperação na infraestrutura de assinatura múltipla da BitGo que permite aos titulares das carteiras acessar seus ativos se o custodiante ficar indisponível. A exchange afirmou suspeitar que o recurso tenha sido usado indevidamente e estar investigando como ele foi acessado e se houve perda de criptomoedas.
O relato da BitGo, divulgado pelo crypto.news, oferece uma explicação mais restrita. O custodiante afirmou que as transferências foram concluídas com a chave do usuário e a chave de backup mantidas pela Unocoin e, em seguida, transmitidas diretamente à blockchain. As transações normais usam a chave do usuário e a chave da BitGo, mas a chave de backup pode ser combinada com qualquer uma das outras duas para atingir o limite de duas assinaturas.
As duas declarações se sobrepõem, mas diferem na ênfase. A BitGo apresenta o incidente como uma atividade executada fora de sua plataforma, com chaves que não detém; a Unocoin apresenta a mesma atividade como uma suspeita de exploração de um mecanismo de backup concebido para esse fim. Nenhum dos relatos identifica quem usou as chaves nem informa um valor confirmado das perdas.
A exchange afirmou que é difícil reconstruir todo o histórico de transações usando dados públicos da blockchain, em parte devido ao uso de endereços de troco pela BitGo. Ela solicitou ao custodiante informações no nível das transações e afirma já ter recebido os esclarecimentos que buscava.
O contexto tributário e de declaração de criptoativos na Índia
Para os usuários indianos, a questão imediata é se a pausa afeta sua situação fiscal. Os ganhos com criptoativos na Índia são tributados a uma alíquota fixa de 30% nos termos da Seção 115BBH, com retenção de 1% na fonte sobre transferências conforme a Seção 194S; as perdas não podem ser compensadas com outras rendas nem transferidas para anos seguintes. As exchanges que atendem usuários indianos devem estar registradas na FIU-IND como entidades declarantes, e incide GST de 18% sobre as taxas de serviço das exchanges. Um congelamento ou atraso no saque não altera, por si só, a obrigação tributária do usuário, embora manter registros se torne mais importante quando há divergências nos históricos de transações.
Lições de segurança sobre mecanismos de backup
As carteiras com assinatura múltipla são projetadas para exigir mais de uma aprovação antes da movimentação dos fundos. O episódio da Unocoin mostra que a via de recuperação que contorna essas aprovações também é uma superfície de ataque. A Cointelegraph informou que um alerta de 5 de nov. da agência de cibersegurança da Índia descreveu uma campanha assistida por IA que visava exchanges de criptoativos e empresas financeiras, embora não tenha sido estabelecida qualquer ligação com o incidente da Unocoin.
Panorama do mercado
No momento da publicação da atualização sobre o incidente, o Ethereum (ETH) era negociado a US$ 1.891 (₹178,268), em queda de 1,3% em 24 horas e 15,8% em sete dias, com capitalização de mercado de US$ 231,13 bilhões e volume de US$ 9,11 bilhões em 24 horas, segundo dados da CoinPaprika com registro de data e hora de 14 de nov. de 2026, 04:36 UTC. Na Índia, o USDT era negociado a ₹94.22, em comparação com a taxa de referência de ₹94.29, um pequeno prêmio negativo.
Por que isso importa
Os arranjos de custódia são tão seguros quanto seu mecanismo de recuperação mais vulnerável. Se uma chave de backup mantida por um cliente puder concluir uma transação sem o custodiante, congelar a conta do custodiante não impedirá um atacante determinado que tenha conseguido acessar a infraestrutura do cliente. Esse é o cenário que está sendo investigado agora, e ele se aplica a qualquer exchange que use projetos de autocustódia semelhantes. Para quem acompanha plataformas de depósitos rápidos e a confiabilidade das exchanges, o caso serve de lembrete de que a velocidade dos saques e a arquitetura das carteiras devem ser avaliadas em conjunto.
O que acompanhar
A Unocoin não definiu uma data para restabelecer os serviços, e o prazo de reconstrução informado, de quatro a cinco dias úteis a partir de 12 de nov., é o próximo marco mais próximo. As próximas divulgações importantes são a verificação, pela exchange, dos dados de transações fornecidos pela BitGo e qualquer valor confirmado dos fundos afetados.
Perguntas frequentes
 A BitGo sofreu uma violação de segurança no incidente da Unocoin?
Em 13 de nov., a BitGo declarou que seus sistemas não foram violados, que o congelamento da conta da Unocoin funcionou como previsto e que sua própria chave de assinatura não foi usada nas transferências sob investigação.
 Quantas chaves a Unocoin controlava em sua carteira da BitGo?
Segundo a BitGo, a carteira usava uma configuração 2 de 3, na qual a Unocoin detinha as chaves do usuário e de backup, enquanto a BitGo detinha a terceira. São necessárias duas chaves para autorizar uma transação.
 A Unocoin confirmou alguma perda para os clientes?
Não. A Unocoin afirmou que ainda não concluiu uma avaliação definitiva dos fundos potencialmente afetados e que não dará garantias até que as informações no nível das transações sejam verificadas.
 Quando a Unocoin restabelecerá os serviços?
A Unocoin não anunciou uma data para o restabelecimento. Em 12 de nov., estimou que levaria cerca de quatro a cinco dias úteis para reconstruir sua infraestrutura de servidores.
Esta publicação BitGo: as próprias chaves de backup da Unocoin assinaram transferências suspeitas apareceu primeiro no BitcoinWorld.