Unocoin : pourquoi le gel laisse une autre voie de signature

Ce qui a changé dans l’explication

La mise à jour d’Unocoin du 13 novembre change la lecture de l’incident concernant son portefeuille. La plateforme affirme que le gel de son compte d’entreprise BitGo a fonctionné comme prévu, alors que les transactions contestées ont été signées et diffusées hors de BitGo. Elle soupçonne un détournement du mécanisme de secours et poursuit son enquête. Une restriction du compte et un transfert sur la blockchain peuvent donc coexister sans que la restriction ait échoué dans le service qu’elle contrôle.

La chronologie compte. Unocoin indique avoir détecté une activité suspecte le 6 novembre, suspendu ses services après une nouvelle activité le 9 novembre et identifié des transactions sortantes le 12 novembre. Cette dernière date désigne la découverte, pas nécessairement le moment de chaque transfert. La question est de savoir quelles voies de signature restaient disponibles après le gel. Pour y répondre, il faut distinguer l’accès à la plateforme du prestataire du pouvoir exercé sur le portefeuille. [1]

Deux voies pour un même portefeuille

La documentation de BitGo décrit une configuration standard comprenant une clé utilisateur, une clé de secours et une clé BitGo. Deux sont nécessaires pour autoriser les transferts concernés. La voie habituelle associe la clé utilisateur à celle de BitGo. La récupération peut, elle, associer les clés utilisateur et de secours, afin que le client accède aux fonds lorsque le prestataire est indisponible.

Cette fonction assure volontairement la continuité. Elle signifie aussi que le prestataire n’est pas indispensable à chaque transfert valide. La documentation de récupération précise expressément que ces transactions contournent les politiques de BitGo. Le compromis est simple : l’indépendance vis-à-vis du prestataire crée une voie d’autorisation qu’il ne peut bloquer en refusant seulement sa propre signature. Le tableau ci-dessous présente ces voies de manière conceptuelle ; il ne reconstitue pas toutes les transactions de l’incident. [2][3]

La portée du gel d’un compte

Dans son communiqué du 13 novembre, BitGo affirme que les transactions Ethereum examinées utilisaient les clés utilisateur et de secours d’Unocoin, sans sa propre clé. Il indique que les demandes de construction de transactions passant par sa plateforme le 9 novembre ont été bloquées. Ce sont les conclusions du prestataire, cohérentes avec l’explication actualisée d’Unocoin, et non une expertise indépendante réalisée par notre rédaction.

Le gel de la plateforme demande à BitGo de cesser de traiter les requêtes sortantes et de fournir sa signature. Il ne modifie pas les conditions de signature du portefeuille sur la blockchain. Si une autre combinaison autorisée de clés reste utilisable, le portefeuille peut encore accepter un transfert transmis indépendamment. Cela explique pourquoi renforcer seulement les contrôles de connexion ne résout pas la compromission des deux clés détenues par le client. BitGo dit avoir conseillé à Unocoin de déplacer les fonds restants vers des portefeuilles dotés de nouvelles clés. [1][4]

Une clé de secours permet de dépenser

Le mot secours peut évoquer une copie passive, utile uniquement après une panne. Ici, il s’agit d’un pouvoir actif : avec une autre clé admissible, cette clé peut autoriser le déplacement de fonds. Son stockage, ses contrôles d’accès et la procédure de récupération doivent donc entrer dans la même évaluation de sécurité que la signature quotidienne.

Notre déduction à partir de cette conception est que compter les accès indépendants aux clés est plus utile que compter les clés elles-mêmes. Si un même environnement compromis expose à la fois la clé opérationnelle et les éléments de récupération, le seuil offre moins de séparation que son appellation ne le suggère. Il s’agit d’un modèle général de risque, pas d’une affirmation sur l’emplacement exact des clés d’Unocoin.

Le test organisationnel utile consiste à vérifier si la récupération exige un accès réellement distinct et une approbation traçable. Un secours accessible en permanence depuis les systèmes habituels de signature peut annuler la séparation recherchée, même si la cryptographie fonctionne correctement. [2][3]

Les modèles de conservation exigent une carte des clés

La documentation des types de portefeuilles BitGo distingue l’autoconservation de la conservation par le prestataire. Dans la configuration d’autoconservation décrite ici, le client contrôle les clés utilisateur et de secours. Dans l’offre de conservation, l’organisation du prestataire assure la création des clés et les opérations de signature. La présence d’une marque dans l’infrastructure d’une plateforme d’échange ne précise pas le modèle utilisé.

La distinction entre stockage à chaud et à froid ne répond pas non plus à toutes les questions. Elle concerne la gestion des éléments de signature ; la question de la conservation concerne celui qui contrôle l’autorisation. La multisignature et le MPC constituent une autre distinction : leurs signatures et leurs processus opérationnels diffèrent. BitGo décrit les deux dans sa documentation, mais son analyse détaillée de l’incident porte sur le portefeuille Ethereum multisignature concerné. Étendre cette explication à tous les actifs ou produits BitGo ferait perdre la configuration qui lui donne son sens.

Pour une évaluation institutionnelle, il faut demander une carte des signataires, de la procédure ordinaire d’approbation et de la récupération pour chaque type de portefeuille réellement utilisé. [5]

Ce que les clients peuvent retenir

Pour les clients d’une plateforme d’échange, le contrôle est indirect : ils dépendent de sa gestion des clés et de sa réponse à l’incident. Les informations pertinentes concernent les retraits, les actifs touchés, le rapprochement des soldes et les conditions de reprise. L’annonce du gel d’un compte de plateforme ne répond qu’à une partie de ces questions.

Trois questions rendent les prochaines communications plus utiles : - Quelles voies de transaction le gel arrête-t-il ? - Qui contrôle les autres combinaisons de signature ? - Quels éléments attestent le rétablissement de l’accès aux fonds des clients ?

La dernière mise à jour d’Unocoin décrit toujours une enquête et des travaux de rétablissement des services. Nous ne calculons pas de perte à partir d’estimations tierces et n’assimilons pas une reconstruction de l’infrastructure à une garantie de retrait. L’enseignement central concerne la portée du contrôle : un plan de réponse doit couvrir chaque voie de signature valide, y compris la récupération. Les clients ont aussi besoin d’une réponse distincte sur le calendrier et les modalités du rétablissement de leur propre accès. [1][3][4]