Unocoin identifica transações não rastreáveis em endereço Ethereum da BitGo

Segundo o Unchained, a exchange indiana Unocoin informou, neste dia, que identificou transações de saída de um de seus endereços Ethereum (ETH) na infraestrutura de carteira BitGo, endereço utilizado para financiar tokens ERC-20. A descoberta foi divulgada em uma atualização de seu post sobre o incidente, três dias após a suspensão de todos os serviços.

A Unocoin escalou o caso para a BitGo, provedora de custódia, que abriu investigação sobre como as transações foram executadas. De acordo com a Unocoin, a BitGo “confirmou que o assunto está sendo tratado como prioridade” (em tradução livre). O Unchained não encontrou comunicado público da BitGo.

A exchange afirmou que suas contas empresariais na BitGo permanecem congeladas e que não consegue efetuar login nelas. Segundo a Unocoin, a BitGo depende de endereços de mudança – novos endereços criados para armazenar o saldo residual de uma transação – para “uma parte significativa” da arquitetura da carteira, o que impede a exchange de rastrear completamente a atividade na blockchain. A Unocoin solicitou à BitGo detalhes de nível de transação.

O comunicado também destacou que mais de 90% das criptomoedas que a Unocoin detém para clientes estão em armazenamento frio, ou seja, em carteiras offline. Não foi informado se algum saldo de usuário foi afetado.

A Unocoin detectou atividade não autorizada em 6 de novembro e pediu aos dois provedores que mantêm seus saldos diários que congelassem as contas empresariais: a Fireblocks às 11:24 UTC e a BitGo às 11:29 UTC, ambas confirmando o bloqueio e sem perdas identificadas até então. Após nova atividade não autorizada em 9 de novembro, a exchange suspendeu todos os serviços; sua investigação concluiu que a infraestrutura “foi comprometida”.

A empresa está reconstruindo seus servidores do zero e estima que a reconstrução levará cerca de quatro a cinco dias úteis. Até o momento, a causa raiz do comprometimento não foi estabelecida.

Em mensagem no X, a Unocoin informou aos usuários, em 9 de novembro, que nenhum fundo de criptomoeda havia sido perdido e, em resposta reiterou que “nenhum fundo de usuário foi perdido” (em tradução livre). A divulgação segue outro incidente em uma exchange indiana: em outubro, a CoinDCX absorveu perdas após falha em varredura de endereços comprometidos em seu ataque de 2025.