印度加密货币交易所 Unocoin 遭遇严重安全事件。11月14日，该平台确认，黑客攻击导致其约20万美元的加密货币被盗，涉及三个热钱包。更令人担忧的是，攻击者可能还接触到了部分客户个人信息，包括电子邮件地址、家庭住址、加密后的账户密码以及KYC相关资料。
这次事件也推翻了 Unocoin 此前关于客户资金尚未发现损失的说法。目前平台仍处于服务暂停状态，正在调查攻击原因并重建服务器基础设施。
Unocoin损失20万美元，三个热钱包遭攻击
根据 Unocoin 最新公布的安全事件报告，攻击者成功入侵了平台20多个日常运营热钱包中的三个，造成约20万美元的加密货币损失。
Unocoin 表示这笔损失占平台客户加密货币资产总额的比例不到1%。平台已经与相关合作方协调，部分受影响资金已被冻结，但具体冻结金额尚未公布。
值得关注的是Unocoin 承诺将使用公司自身资金承担全部损失，不会从客户账户余额中扣除，也不会要求用户承担此次安全事件造成的资金缺口。
按照平台目前的承诺普通用户的账户资产不会因为这次盗币事件而直接缩水。
八年前保存的备份密钥成为攻击入口
此次安全事件最值得关注的地方，是攻击者可能利用了 Unocoin 自己管理的备份签名密钥。
根据平台调查这些密钥大约在八年前生成，经过加密处理后被打印在纸上，并保存在安全的物理存储环境中。
Unocoin 使用的是2/3多重签名钱包，需要三把密钥中的任意两把才能批准交易。其中两把密钥由 Unocoin 自己控制，另一把由托管服务商 BitGo 管理。
调查发现，攻击者获得了 Unocoin 控制的用户密钥和备份密钥，并利用它们完成未经授权的转账。
BitGo 随后也表示，其自身基础设施没有遭到此次攻击，相关交易并未使用 BitGo 的签名密钥，而是通过 Unocoin 控制的密钥完成签名，并直接广播到区块链。
目前Unocoin 仍未完全查明攻击者究竟通过什么方式获取了这些备份密钥。
客户哪些个人信息可能遭到泄露？
除了20万美元的加密货币损失，客户数据安全问题同样值得关注。
Unocoin 表示，由于部分服务器基础设施遭到入侵，以下信息可能已经暴露：
- 注册邮箱地址
- 用户家庭住址
- 加密后的账户密码
- KYC相关信息
- 不同加密货币的账户余额
平台表示，目前尚未发现客户身份验证文件被未经授权访问的证据，但相关调查仍在进行。
对于用户来说，更直接的风险可能来自后续的钓鱼诈骗。攻击者如果掌握邮箱、住址和账户余额等信息，就可能针对特定用户发送看起来非常真实的诈骗邮件或客服消息。
Unocoin 已提醒客户提高警惕，不要向任何人提供账户密码、短信验证码、私钥或钱包助记词。
Unocoin什么时候恢复交易？
目前 Unocoin 仍在重建服务器基础设施，并进行全面安全检查。
此前平台决定不直接恢复原有服务器，而是从头重新搭建整个系统，以降低潜在安全隐患。平台尚未公布明确的恢复交易日期。
对于此次事，Unocoin 还需要解决几个关键问题备份密钥究竟如何泄露、是否还有其他客户数据被盗，以及被冻结的加密货币能够追回多少。
这次事件再次说明即使交易所采用多重签名和第三方托管服务，也不代表资产绝对安全。密钥管理、服务器权限以及备份机制中的任何一个环节出现问题，都可能给整个交易系统带来风险。