Unocoin: почему заморозка счёта оставляет путь для перевода

Что изменилось в объяснении

Обновление Unocoin от 13 ноября меняет понимание инцидента с кошельком. Биржа сообщает, что заморозка её корпоративного аккаунта BitGo сработала как предусмотрено, а спорные транзакции были подписаны и отправлены в сеть вне BitGo. Компания подозревает использование резервного механизма и продолжает расследование. Ограничение аккаунта и перевод в блокчейне могут происходить одновременно, даже если ограничение действует исправно в пределах соответствующего сервиса.

Важна хронология. Unocoin сообщает об обнаружении подозрительной активности 6 ноября, остановке сервисов после повторной активности 9 ноября и выявлении исходящих транзакций 12 ноября. Последняя дата относится к обнаружению, а не обязательно ко времени каждого перевода. Вопрос для разбора: какие способы подписи оставались доступны после заморозки? Для ответа нужно отделить доступ к платформе провайдера от полномочий над кошельком. [1]

Два пути распоряжения одним кошельком

Документация BitGo описывает стандартную схему с пользовательским ключом, резервным ключом и ключом BitGo. Для соответствующих переводов нужны два ключа. Обычный путь объединяет пользовательский ключ и ключ BitGo. При восстановлении доступа можно использовать пользовательский и резервный ключи, чтобы распоряжаться средствами при недоступности провайдера.

Это предусмотренная возможность продолжить работу. При этом провайдер не является обязательным участником каждого допустимого перевода. В документации восстановления BitGo прямо указано, что такие транзакции обходят её политики. Здесь есть понятный компромисс: независимость от провайдера создаёт способ авторизации, который он не может остановить одним отказом от собственной подписи. Таблица ниже объясняет эти пути в общем виде; она не восстанавливает каждую транзакцию инцидента. [2][3]

Границы заморозки счёта

В собственном заявлении от 13 ноября BitGo сообщает, что изученные транзакции Ethereum были подписаны пользовательским и резервным ключами Unocoin без ключа BitGo. По данным провайдера, запросы на формирование транзакций через его платформу 9 ноября блокировались. Это выводы провайдера, согласующиеся с обновлённым объяснением Unocoin, а не независимая экспертиза нашей редакции.

Заморозка платформы означает, что BitGo прекращает обработку исходящих запросов и выдачу своей подписи. Условия подписи самого кошелька в блокчейне от этого не меняются. Если доступна другая разрешённая комбинация ключей, кошелёк по-прежнему может принять независимо отправленный перевод. Поэтому усиление защиты входа на платформу само по себе не устраняет компрометацию обоих клиентских ключей. BitGo сообщает, что рекомендовала Unocoin перевести оставшиеся средства в кошельки с новыми ключами. [1][4]

Резервный ключ даёт право переводить средства

Слово «резервный» может создавать впечатление пассивной копии, нужной только после сбоя. Здесь это действующее полномочие: вместе с другим подходящим ключом оно позволяет переводить средства. Поэтому хранение резервного ключа, доступ к нему и процедура восстановления требуют такой же оценки защиты, как повседневная подпись.

Наш вывод из этой архитектуры: полезнее считать независимые способы получения ключей, чем сами ключи. Если одна скомпрометированная среда раскрывает и рабочий ключ, и материалы восстановления, разделение слабее, чем можно предположить по названию схемы. Это общая модель риска, а не утверждение о конкретном месте хранения ключей Unocoin.

Практический организационный вопрос: требует ли восстановление действительно отдельного пути доступа и контролируемого согласования? Резерв, постоянно доступный из рабочих систем подписи, способен свести разделение на нет даже при корректной работе криптографии. [2][3]

За названием услуги должна быть схема ключей

Документация BitGo разделяет самостоятельное и кастодиальное хранение. В описанной здесь схеме самостоятельного хранения клиент контролирует пользовательский и резервный ключи. В кастодиальной услуге создание ключей и операции подписи выполняет организация провайдера. Название поставщика инфраструктуры биржи не определяет, какая именно схема используется.

Деление на горячее и холодное хранение тоже отвечает не на все вопросы. Оно касается обращения с материалами подписи, а вопрос кастодиального контроля относится к тому, кто разрешает операции. Мультиподпись и MPC представляют ещё одно различие: у них разная организация подписей и рабочих процессов. BitGo описывает оба подхода, но подробный разбор инцидента относится к затронутому кошельку Ethereum с мультиподписью. Перенос этого объяснения на все активы или продукты BitGo стирает важные особенности конфигурации.

Для оценки инфраструктуры организации нужна схема подписантов, обычного согласования и восстановления для каждого реально используемого типа кошелька. [5]

Что этот случай означает для клиентов

Клиенты биржи контролируют ситуацию косвенно: они зависят от того, как биржа хранит ключи и устраняет последствия инцидента. Для них важны статус вывода, затронутые активы, сверка остатков и условия возобновления работы. Сообщение о заморозке аккаунта платформы отвечает лишь на часть этих вопросов.

Будущие раскрытия будут полезнее, если ответят на три вопроса: - Какие способы перевода останавливает заморозка? - Кто контролирует остальные допустимые комбинации ключей? - Какие данные подтверждают восстановление доступа к клиентским средствам?

В последнем обновлении Unocoin по-прежнему описывает расследование и работу над запуском сервисов. Мы не рассчитываем ущерб по сторонним оценкам и не приравниваем пересборку инфраструктуры к гарантии вывода. Главный вывод касается охвата контроля: план реагирования должен учитывать все допустимые способы подписи, включая восстановление. Клиентам при этом нужен отдельный ответ о сроках и порядке возвращения их собственного доступа. [1][3][4]