Unocoin、11月6日から凍結中だったBitGoウォレットから資金が流出したと発表

BitGoの凍結中にも資金が移動

インドの仮想通貨取引所Unocoinは13日(金)、11月6日から追跡してきたセキュリティ事故について、BitGoが口座を凍結済みだったにもかかわらず資金がウォレットから流出したと確認した。同社がX上の声明で説明したところによると、資金はBitGoが凍結を確認済みだったウォレットから引き出され、その経路となったのはBitGoのマルチシグウォレット内に備わるバックアップ復旧経路で、ここが悪用された可能性があるという。NYSEにBTGO銘柄で上場するBitGoは、この説明について公に反論していない。誰が鍵を管理していたのか、流出した暗号資産の額がどの程度かは、いずれも明らかにされていない。

@Unocoin · Xの投稿

X上の声明.

Xで見る

事故の経緯を整理すると次のようになる。Unocoinは11月6日に不審なアクティビティを検知し、委託先である2社のカストディアンに対して法人口座の凍結を要請した。凍結はFireblocksについては11時24分(UTC)、BitGoについては11時29分(UTC)に発効し、その時点で両社とも損失を確認していない。同種のマルチシグウォレットには、カストディアンがオフラインになった場合でも顧客が資金にアクセスできるようにする復旧経路が組み込まれている。BitGo自身の「Wallet Recovery Wizard」のドキュメントは、ユーザーの秘密鍵とバックアップ鍵を使えば「BitGoなしで」資産を移動できると説明し、こうした復旧取引はBitGoと合意したポリシーをすべてバイパスすると明記している。ウィザードの操作にはバックアップ公開鍵、ユーザー公開鍵、ウォレットのパスフレーズ、そしてBitGo公開鍵またはウォレットアドレスのいずれかが必要で、生成された取引は資産を新しいアドレスへ送金する。Unocoinはこの経路が「悪用された可能性がある」とし、どこからどう利用されたのかの検証を進めている。なお同社は、顧客の暗号資産の90%超がコールドウォレットで保管されていることを確認済みとする。

サービス停止、サーバー再構築、オンチェーンの痕跡

運用は引き続き停止中だ。Unocoinは11月6日に不正なアクティビティを検知し、さらなる資金移動が確認された翌週の11月9日(月)に全サービスを停止、その後の木曜には、BitGoウォレットインフラ内のイーサリアムアドレスからの送金を公表した。同社によると、サーバーが侵害されていた。同一アドレスがERC-20トークンの資金源として使われたこと、調査対象の取引がBitGoのプラットフォーム外で署名・ブロードキャストされたことも報告されている。復旧機能の悪用を疑いつつも、送金がどう実行されたのか、デジタル資産が実際に失われたのかは確定できていない。Unocoinは、BitGoのチェンジアドレス設計が取引履歴の完全な復元を困難にしていると指摘し、サーバー基盤全体を再構築中で、所要は4~5営業日を見込む。入出金の再開時期は未定だ。

オンチェーンデータは、11月12日時点でUnocoinに関連付けられた約80,986のアドレスの合計残高をゼロと標記している。同じ読み取りでは、これらのウォレットの過去1か月間の保有額は最大でも数百ドル程度、3か月間のピークでも25万ドル強にとどまり、このクラスタは取引所全体のフットプリントのごく一部を捉えたにすぎない。インドのサイバーセキュリティ機関は11月5日、仮想通貨取引所などを標的とするAI支援型のキャンペーンを警告していたが、本件との関連は確認されていない。一方、BitGoは第3四半期決算で純利益4,410万ドルを報告しており、デジタル資産トレジャリーの含み益7,150万ドルが押し上げた。事故の中心にある復旧ウィザードは、カストディアンの署名なしで資産を移動できるウォレット復旧手段の一つだ。

今回の事故は、凍結そのものが破られたわけではなく、機能の一つが起点になった形だ。資金はBitGoが公に文書化している経路で流出しており、それだけにセキュリティの境界線は、カストディアンの管理外でクライアントがバックアップ鍵をどれだけ厳重に守るかに依存することになる。この曖昧さは、2024年7月に2億3,400万ドルが奪われたWazirXハッキング事件で、WazirXとカストディ提携先のLiminalが数か月にわたり互いの責任を主張し合った構図と重なる。Unocoinが損失額を公表し、鍵の保持者を特定するまで、ERC-20トークンの資金源として使われたイーサリアムアドレスが、資金の行き先を示すオンチェーン上の唯一の手がかりであり続ける。