Verdächtige Transaktionen von einer Wallet, die seit langem mit der indischen Kryptobörse CoinCDX in Verbindung gebracht wird, haben eine neue Untersuchung wegen Diebstahls ausgelöst, nachdem On-Chain-Daten zeigten, dass mehr als 15 Millionen US-Dollar in Stablecoins von einer Adresse abgeflossen sind, die beim Sicherheitsvorfall der Börse im Juli 2025 offengelegt worden war.

Die Abflüsse wurden in der Nacht zum 21. Oktober festgestellt und beliefen sich auf 15,99 Millionen US-Dollar in USDT sowie 5.783,81 TRX. Die Mittel wurden an eine Zwischenadresse überwiesen, die anschließend vollständig geräumt wurde, wobei ein Teil der USDT die Hot Wallets von Binance sowie OKX und Gate erreichte.

CoinCDX bestreitet, dass sich die Wallet derzeit in seinem Einflussbereich befindet, und erklärt, die Adresse sei fälschlicherweise auf Arkham Intelligence gekennzeichnet worden.

„Die von Arkham markierten Adressen gehörten vor dem Hack im vergangenen Jahr, also Juli 2025, zu CoinDCX. Diese Adressen wurden im Januar 2025 generiert und wurden beim vorherigen Hack im Juli 2025 kompromittiert. Die Hacker scheinen die alten Wallet-Adressen wiederzuverwenden, und das klingt nach einem Fehlalarm“, erläuterte der Mitgründer der Börse, Sumit Gupta, auf X.

CoinCDX-Wallet wurde weiterhin in DeFi-Protokollen genutzt

Während CoinCDX angibt, die Wallet weder genutzt noch kontrolliert zu haben, zeigt die On-Chain-Evidenz, dass die Adresse noch lange nach dem Exploit 2025 aktiv blieb. Der On-Chain-Forscher ZachXBT wies darauf hin, dass Wallet weiterhin als Liquiditätsanbieter genutzt wurde und zugleich Einlagen von Nutzern abzog. Zusätzlich machte er deutlich, dass CoinCDX rund 15,8 Millionen US-Dollar an Nutzermitteln in einem transparenten Proof of Reserves noch nicht ausweisen konnte – einer Offenlegung, mit der Börsen ihren Nutzern ermöglichen zu prüfen, ob die Bestände die Kundenn chattverpflichtungen abdecken.

Die jüngste Bewegung von Mitteln dürfte keinen weiteren Wallet-Diebstahl darstellen, sondern zeigt vielmehr, dass Nutzer von CoinCDX mindestens 10 Monate nach dem Hack 2025 weiterhin Einzahlungen an die Wallet vornahmen. ZachXBT stellte außerdem fest, dass die aktuellen Hot Wallets der Börse noch bis April 2026 Gas an die kompromittierte Adresse überwiesen.

Der Vorfall fügt sich in eine belastete Bilanz ein. Wie Cryptopolitan bereits berichtete, wurde CoinCDX als Börse gekennzeichnet, die zur Geldwäsche von Betrugsmitteln genutzt wurde, und erlitt 2025 zudem einen Hack, bei dem bis zu 44 Millionen US-Dollar abflossen.

CoinCDX ist eine relativ kleine Börse und verzeichnete laut CoinGecko in den vergangenen 24 Stunden ein Handelsvolumen von 1,15 Millionen US-Dollar täglich. Das aktivste Handelspaar ist Fiat gegenüber USDT, mit einer begrenzten Anzahl angebotener Assets. Die Plattform gilt bereits als grundsätzlich riskant, doch die jüngsten Erkenntnisse haben die Zweifel vertieft, dass der Betreiber möglicherweise versäumt hat, Nutzermittel zu schützen, und dass Einzahlungen eine bereits kompromittierte Wallet wieder auffüllten.

Können die CoinCDX-Mittel noch gerettet werden?

In einem ungewöhnlichen Schritt wurden die aus CoinCDX entnommenen Mittel an zentralisierte Börsen verlagert. Der Großteil des Betrags war in USDT gehalten, was bedeutet, dass entweder Tether oder die Börsen den Verlust einfrieren und rückgängig machen könnten – das hängt jedoch davon ab, dass CoinCDX bestätigt, dass ein Exploit stattgefunden hat. Tether hat USDT in früheren Diebstahlsfällen eingefroren, daher ist eines der wichtigsten Entwicklungen, die es im Verlauf der Untersuchung zu beobachten gilt, ob der Emittent und die empfangenden Plattformen Schritte unternehmen, um die markierten Mittel zu blockieren.

Die Mittelbewegungen aus der Exploiter-Wallet wiederholten zudem das Muster des früheren CoinCDX-Hacks, bei dem gestohlene Mittel über zentralisierte Märkte gewaschen wurden.

Derzeit steht CoinCDX im Verdacht fehlerhafter Sicherheitspraktiken und der tatsächlichen Wiederverwendung seiner kompromittierten Wallets, während es keinen ausreichenden Nachweis für die Sicherheit der Nutzermittel erbringt. Die Börse hat erneut eine Erklärung veröffentlicht, in der sie angibt, nicht mit diesen Wallets interagiert zu haben – im Widerspruch zur On-Chain-Evidenz.

Der Vorfall bei CoinCDX ist ein relativ seltenes Ereignis, da die meisten Angriffe sich gegen dezentrale Protokolle richten. Der mutmaßliche Exploit trifft in einer Zeit ein, in der Krypto-Nutzer gegenüber Hacks und versehentlicher Offenlegung zunehmend vorsichtiger werden – darunter die über den Railway-Vorfall kompromittierten privaten Schlüssel und die potenziellen Auswirkungen neu entdeckter PHP-Schwachstellen.

Der Vorfall bei CoinCDX ist bislang noch nicht vollständig geklärt. Sollte die Börse jedoch Nutzermittel an eine kompromittierte Adresse umgeleitet haben, würde dies das Vertrauen in die Einzahlung von Kryptowährungen auf Börsen-Wallets weiter untergraben.

Die On-Chain-Recherche hat weitere Verbindungen zwischen den Wallets des Hackers und von CoinCDX genutzten Adressen festgestellt, wie @DarcyAri festhielt – das Konto, das die verdächtigen Transaktionen als Erstes bemerkte.