Unocoin, una delle più antiche piattaforme di scambio di criptovalute indiane, ha dichiarato giovedì 12 novembre di aver trovato transazioni in uscita di ether da un indirizzo Ethereum presente nella sua struttura di wallet presso BitGo, sei giorni dopo aver individuato per la prima volta attività non autorizzata sui propri sistemi. In un aggiornamento sull’incidente di sicurezza pubblicato sul blog, la società di Bangalore ha spiegato che la sua infrastruttura di server è stata compromessa e che BitGo ha aperto un’indagine. L’aggiornamento non indica né un importo né una destinazione per gli ether. I clienti non riescono ad accedere alla piattaforma da lunedì 9 novembre.
Le parole contano. Unocoin dice che i suoi server sono stati compromessi. L’indirizzo in questione si trova nell’infrastruttura di wallet di Unocoin presso BitGo, un fornitore di custodia, ed era usato per finanziare trasferimenti di token ERC-20. Nessuno, Unocoin compresa, ha detto che BitGo stessa sia stata violata, e finora sulla blockchain non è stato dimostrato alcun furto. Esistono un resoconto della società, una piattaforma congelata e un vuoto in ciò che la società riesce a vedere.
Cronologia dell’hack di Unocoin: dal primo allarme del 6 novembre alle transazioni su BitGo
L’aggiornamento di Unocoin ricostruisce la sequenza con una precisione insolita per smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il primo giorno e molto minore per quelli successivi.
| Data (2026) | Cosa riferisce Unocoin |
|---|---|
| Venerdì 6 novembre | Attività non autorizzata rilevata; Unocoin avvia misure precauzionali sulle sue criptovalute |
| 6 novembre, 11:24 UTC | Avviato il blocco del suo account enterprise Fireblocks |
| 6 novembre, 11:29 UTC | Avviato il blocco del suo account enterprise BitGo; entrambi i fornitori confermano i blocchi |
| Lunedì 9 novembre | Nuova attività non autorizzata nonostante i controlli precedenti; tutti i servizi sospesi; infrastruttura risultata compromessa |
| Giovedì 12 novembre | Individuate transazioni in uscita da un indirizzo ETH nei suoi wallet BitGo; la questione passa a BitGo |
Al momento dei blocchi del 6 novembre, scrive la società, non era stata individuata alcuna perdita di criptovalute. Il post non indica gli orari degli eventi del 9 novembre e non dice quando siano avvenute le transazioni in ether in uscita, ma solo quando Unocoin le ha scoperte.
Cosa dice Unocoin e cosa non riesce a vedere
La frase più importante dell’aggiornamento è un’ammissione. «Al momento non abbiamo piena visibilità su tutte le transazioni potenzialmente indesiderate», scrive Unocoin riferendosi ai suoi wallet BitGo. I suoi account BitGo restano congelati e la società non può accedervi: è lo scopo di un blocco, ma significa anche che non può ispezionarli dall’interno.
Non può verificarli del tutto nemmeno dall’esterno. Unocoin spiega che il modello di wallet di BitGo usa indirizzi di resto (change address), nuovi indirizzi che ricevono quanto avanza dopo un pagamento, per cui la società non può associare con certezza ogni movimento sulla blockchain ai propri wallet. Ha chiesto a BitGo i dettagli a livello di singola transazione. Secondo The Block, su X Unocoin ha anche rifiutato di dare ai clienti una garanzia di recupero «basata su ipotesi» finché quei dettagli non saranno verificati.
BitGo, secondo Unocoin, ha confermato di trattare la vicenda come una priorità e di esaminare come le transazioni possano essere avvenute. È la descrizione che Unocoin dà della posizione di BitGo. BitGo non ha pubblicato alcuna dichiarazione propria sull’incidente.
L’affermazione «nessun fondo perso» viene solo da Unocoin
La formula «nessun fondo perso» risale alla prima dichiarazione di Unocoin dopo la sospensione del 9 novembre, rilanciata su X, in cui la società diceva che nessun fondo in criptovalute era andato perduto, come ha riportato Bitcoin.com News. Testate di settore come Crypto Briefing e The Block la descrivono ancora come la posizione della piattaforma. Il post del blog del 12 novembre è più prudente e non la ripete. Dice soltanto che nessuna perdita era stata individuata quando furono disposti i primi blocchi e che l’entità completa delle transazioni indesiderate su BitGo non è ancora nota.
Per ora le due posizioni possono convivere, ma la seconda limita la prima. Una società che dice di non vedere tutta l’attività dei suoi wallet può affermare di non aver trovato perdite. Non può ancora dimostrare che non ce ne siano, e l’ultimo aggiornamento non ci prova.
La rassicurazione principale della piattaforma è strutturale. «Le criptovalute non sono conservate direttamente su nessuno dei nostri server», si legge nell’aggiornamento, e oltre il 90% delle criptovalute che detiene per i clienti si trova in cold storage, cioè con chiavi tenute offline (vedi la nostra guida al cold wallet). Resta quindi fuori dal cold storage fino a un decimo. Unocoin non dice quanto valga in dollari quella quota, dove si trovi o se l’indirizzo ETH ne facesse parte.
Cosa mostra la blockchain e cosa no
Nell’aggiornamento di Unocoin non compaiono indirizzi ETH, hash di transazione, importi o nomi di token, e nessuno li ha pubblicati altrove. Finché non succederà, il deflusso non può essere tracciato su un block explorer e la sua entità resta sconosciuta.
L’unica lettura on-chain disponibile finora è indiretta. L’account di analisi Onchain Lens ha scritto su X il 12 novembre che Arkham Intelligence mostra un saldo complessivo di 0 dollari su circa 81.000 indirizzi che attribuisce a Unocoin. Bitcoin.com News ha guardato la stessa pagina di Arkham: 80.986 indirizzi, l’etichetta «No assets found», al massimo qualche centinaio di dollari nell’ultimo mese e un picco a tre mesi appena sopra i 250.000 dollari.
Quella storia pesa più dello zero. Indirizzi etichettati che hanno contenuto poche centinaia di dollari per un mese non possono essere il luogo in cui la piattaforma custodisce le monete dei clienti, quindi un totale vuoto dice poco su un eventuale svuotamento. Le etichette di Arkham potrebbero essere semplicemente vecchie, oppure riguardare indirizzi di deposito svuotati altrove. Bitcoin.com News ha fatto la stessa osservazione: un saldo zero su wallet etichettati non prova che i fondi siano stati rubati, e nessun furto di grandi dimensioni è stato verificato in modo indipendente.
BitGo e Fireblocks: due account congelati, un’unica indagine
Unocoin usava in parallelo due fornitori di custodia istituzionale. Fireblocks, che si basa sul calcolo multi-parte (MPC) per suddividere le chiavi di firma (la nostra guida a Fireblocks spiega il modello), ha confermato il blocco dell’account enterprise di Unocoin il 6 novembre; l’aggiornamento non riferisce altro da quel lato. Tutte le domande ora puntano su BitGo, che il 10 novembre ha presentato i risultati del terzo trimestre e non ha commentato il caso Unocoin.
I server compromessi di un cliente e la sicurezza del custode sono due questioni distinte. Se un attaccante disponeva di credenziali valide o di un accesso API dall’interno di Unocoin, una transazione potrebbe uscire da un wallet in custodia senza alcuna colpa del custode. Se sia andata così, o se le transazioni in uscita siano precedenti al blocco del 6 novembre, Unocoin non lo dice. I risultati di BitGo dovrebbero chiarire entrambi i punti.
Ricostruzione da zero: da quattro a cinque giorni lavorativi, nessuna data di riapertura
Invece di ripristinare l’ambiente esistente, Unocoin dice che ricostruirà da zero l’intera infrastruttura di server con controlli di sicurezza rafforzati, operazione che prevede richieda da quattro a cinque giorni lavorativi. I servizi riprenderanno solo dopo le verifiche di sicurezza. L’aggiornamento non dice quando sia iniziata la ricostruzione e non indica alcuna data di riapertura. Il 12 novembre il suo sito restituiva un errore 504, secondo Crypto Briefing e The Block.
Come siano stati violati i suoi sistemi, quali siano stati raggiunti e se siano state esposte informazioni dei clienti sono tutti punti che, nelle parole della società, sono ancora sotto indagine. L’aggiornamento non cita alcuna autorità di vigilanza né denuncia alla polizia e non dà istruzioni ai clienti; indica una linea telefonica attiva dalle 09:30 alle 18:30 ora indiana, dal lunedì al sabato, un indirizzo email e un modulo per le richieste di assistenza.
Ancora un incidente per una piattaforma indiana, dopo WazirX e CoinDCX
Unocoin è nata nel 2013 e i problemi di sicurezza non sono una novità. Nel giugno 2017 bloccò accessi e prelievi dopo che il 23 giugno era stata trovata una falla nei server, come riportò allora ForkLog, mentre il suo amministratore delegato dichiarava che i fondi dei clienti non erano a rischio.
I casi indiani più gravi sono arrivati dopo. Nel luglio 2024 WazirX ha quantificato in oltre 230 milioni di dollari le perdite dovute a un attacco a uno dei suoi wallet multisig, come ha riportato The Record; la società di analisi Elliptic ha collegato l’attacco a hacker legati alla Corea del Nord. Nel luglio 2025 CoinDCX ha reso nota una perdita di circa 44 milioni di dollari da un conto aziendale usato solo per la liquidità su una piattaforma partner, dicendo che le sue riserve l’avrebbero coperta per intero e che nessun asset dei clienti era stato toccato, secondo The Week. Nell’ottobre 2026 CoinDCX ha inoltre confermato una perdita di 16 milioni di dollari in USDT da wallet dismessi.
Nel settembre 2025 l’unità di informazione finanziaria indiana (FIU-IND), presso cui le piattaforme crypto si registrano ai fini antiriciclaggio, ha iniziato a richiedere audit di cybersicurezza svolti da auditor accreditati presso CERT-In, il team nazionale di risposta alle emergenze informatiche, con una circolare datata 15 settembre 2025, come ha riportato Business Standard.
Un parallelo più vicino è quello di Gopax, in Corea del Sud, che il 6 novembre ha sospeso prelievi e trading dopo una minaccia di attacco informatico, anche in quel caso senza perdite segnalate e senza una data di ripresa.
Cosa possono fare i clienti di Unocoin mentre gli accessi sono bloccati
L’aggiornamento di Unocoin non dà consigli, quindi queste sono precauzioni generali per chiunque sia rimasto escluso da una piattaforma dopo una violazione. Non sono passaggi richiesti dalla società.
- Considera sospetto qualsiasi SMS, email o messaggio Telegram che parli di «recupero dei fondi», di «nuova verifica KYC» o di accesso anticipato. Gli incidenti alle piattaforme attirano il phishing, e Unocoin non ha escluso che i dati dei clienti siano stati esposti.
- Usa solo i contatti indicati su blog.unocoin.com e unocoin.com e non comunicare mai una password o un codice monouso a chi ti telefona.
- Cambia ogni password che usavi su Unocoin e su altri siti, e attiva l’autenticazione a due fattori con app dove l’avevi riutilizzata.
- Conserva i tuoi documenti: schermate dei saldi, storico di depositi e prelievi ed eventuali email di Unocoin. Ti serviranno se in seguito ci sarà una procedura di rimborso.
Cosa non si sa ancora della violazione di Unocoin
- Quanti ETH, o quali token ERC-20, siano usciti dall’indirizzo BitGo, quando e verso quale destinazione.
- Se i saldi di qualche cliente siano interessati e se la posizione «nessun fondo perso» reggerà al rapporto di BitGo sulle singole transazioni.
- Come siano stati compromessi i server di Unocoin e se i dati dei clienti siano stati sottratti.
- Quali autorità indiane, se ce ne sono, siano state informate.
- Quando riapriranno accessi, trading e prelievi al termine della ricostruzione di quattro-cinque giorni.
Il prossimo dato da seguire è l’esito di BitGo sulle transazioni in uscita, che Unocoin dice di attendere prima di dare qualsiasi garanzia sul recupero.