Blockchain-Ermittler stellen CoinDCX' Darstellung eines gemeldeten Sicherheitsvorfalls im Wert von 16 Millionen US-Dollar öffentlich in Frage und behaupten, die indische Krypto-Börse habe Ursprung und Zeitplan verdächtiger Wallet-Aktivitäten, die am 22. Oktober 2026 aufgefallen waren, falsch dargestellt. Der Streit betrifft eine TRON-basierte Einzahlungsadresse und die Frage, ob Gelder, die nach dem offengelegten Hack im Juli 2025 darüber bewegt wurden, ordnungsgemäß verbucht wurden oder ohne Information der Nutzer abgeschöpft wurden.

Die Vorwürfe wurden auch von Protos berichtet.

Die Vorwürfe der Ermittler

Der Ermittler Darcy, der mit der Sicherheitsforschungsgruppe Salus zusammenarbeitet, markierte rund 16 Millionen US-Dollar an verdächtigen Bewegungen von Adressen, von denen angenommen wird, dass sie mit CoinDCX' Custody-Infrastruktur in Verbindung stehen.

Die zentrale Wallet ist eine TRON-basierte Adresse, die durch die Zeichenfolge TQKJQ identifiziert wird. Der On-Chain-Ermittler ZachXBT erklärte, die Einzahlungsadresse sei noch zehn Monate nach dem öffentlich gemeldeten Sicherheitsfall von CoinDCX im Juli 2025, den die Börse zuvor eingeräumt hatte, aktiv von einem Liquiditätsanbieter genutzt worden. Außerdem habe die Adresse Gas erhalten und Kundeneinlagen noch im April und Mai 2026 in CoinDCX' aktuelle öffentliche Hot Wallet gesweept.

Die Terminologie ist für Leser, die den Streit verfolgen, wichtig: Einzahlungsadressen sammeln eingehende Kundengelder, Hot Wallets halten die Guthaben, die eine Börse für tägliche Auszahlungen verwendet, und Gas ist die Gebühr, die eine Blockchain für die Verarbeitung von Transfers erhebt. Ein Sweep fasst Guthaben von einer Adresse in einer anderen zusammen, während ein Liquiditätsanbieter ein externes Unternehmen ist, das Handelsvolumen für die Märkte einer Börse bereitstellt.

ZachXBT veröffentlichte die folgende Nachricht auf X und wandte sich direkt an CoinDCX:

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your team. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

Der Beitrag ist über X und diesen direkten X-Link abrufbar.

ZachXBT bezeichnete 15,8 Millionen US-Dollar an Kundeneinlagen als von CoinDCX' Team nicht erfasst. Diese Zahl stellt seine On-Chain-Interpretation der TQKJQ-Wallet-Aktivitäten dar. Sie wurde weder unabhängig geprüft noch durch eine forensische Überprüfung Dritter bestätigt.

Was unbelegt bleibt

Der zentrale Vorwurf – dass die Bewegungen im Oktober 2026 einen neuen oder andauernden Hack darstellen und nicht Aktivitäten im Zusammenhang mit zuvor kompromittierten Wallets sind – ist umstritten und unbestätigt. Die verfügbaren Beweise enthielten keinen unabhängig verifizierten Block-Explorer-Transaktionssatz, der die Eigentumszuordnung der beteiligten Wallets belegt. Öffentliche Ledgers erfassen Überweisungen zwischen Adressen, identifizieren aber nicht, wer eine Wallet kontrolliert; die Zuordnung hängt von Bestätigungen der Börse, ihrer Geschäftspartner oder eines forensischen Prüfers ab.

CoinDCX hat weder ein forensisches Post-mortem noch eine RegulierungsEinreichung veröffentlicht, die sich speziell mit den Bewegungen im Oktober 2026 befasst. Die verfügbaren Beweise belegen daher weder, dass ein neuer Hack stattgefunden hat, noch dass CoinDCX die Nutzer absichtlich getäuscht hat.

CoinDCX' Reaktion

CoinDCX bezeichnete die Behungen zu den Adressen und Transaktionen öffentlich als irreführend. Die Börse erklärte, die markierten Aktivitäten betreffen Adressen, die Anfang 2025 erstellt, während des Sicherheitsvorfalls im Juli 2025 kompromittiert und anschließend stillgelegt wurden. Zudem habe man den Nutzern geraten, nicht auf die kompromittierten Wallet-Adressen einzuzahlen.

In einer Foldeerklärung sagte CoinDCX, die TQKJQ-Wallet-Aktivitäten stehe im Zusammenhang mit diesen Adressen aus Anfang 2025. Die Börse hielt daran fest, dass die von den Ermittlern identifizierten On-Chain-Bewegungen dem zuvor offengelegten Vorfall zuzuschreiben seien und nicht einem neuen Angriff.

CoinDCX' Erklärungen sind über sein X-Konto und einen Folgebeitrag abrufbar. Die Börse hat keine nach Datum geordnete Abstimmung der Transaktionen vorgelegt und den von ZachXBT genannten Liquiditätsanbieter nicht öffentlich identifiziert.

Die Meinungsverschiedenheit betrifft in erster Linie den Zeitpunkt und die Geldflüsse. CoinDCX' Darstellung verortet die relevante Kompromittierung im Juli 2025 und behandelt die betroffenen Adressen als nach dem Vorfall stillgelegt. ZachXBT' On-Chain-Interpretation verortet Geldbewegungen, Gas-Transfers und Hot-Wallet-Interaktionen noch im Mai 2026. Wäre diese Interpretation korrekt, würden die öffentlichen Offenlegungen der Börse nicht den gesamten operativen Lebenszyklus der Wallet abdecken.

Keine Seite hat diesen spezifischen Sachstreit mit überprüfbarer öffentlicher Dokumentation geklärt.

Coinbases kürzliche CCI-Genehmigung (Indiens Wettbewerbsbehörde) für eine Beteiligungsübernahme an CoinDCX verleiht dem Vorfall zusätzliche Bedeutung, da institutionelle Partner CoinDCX' Sicherheitslage und Offenlegungsstandards im Rahmen laufender Due-Diligence-Prüfungen genau untersuchen werden. Weitere Details zur Genehmigung finden Sie in der Berichterstattung über Coinbases CoinDCX-Beteiligungsgenehmigung.

Fragen für CoinDCX-Nutzer

Für Nutzer, die 2025 und 2026 USDT oder andere Assets auf CoinDCX hielten, wirft der Streit konkrete Fragen zu Verwahrung und Buchführung auf, die die Börse nicht auf Transaktionsebene beantwortet hat. USDT ist ein an den Dollar gebundener Stablecoin, der auf mehreren öffentlichen Blockchains, darunter TRON, ausgegeben wird. CoinDCX' Warnung, „nicht einzuzahlen“, deutet darauf hin, dass das Unternehmen wusste, dass bestimmte Wallet-Adressen kompromittiert waren. Die öffentlichen Aufzeichnungen zeigen jedoch nicht, ob Nutzer, die Gelder auf diesen Adressen hielten, individuell benachrichtigt oder entschädigt wurden.

Sicherheitsvorfall-Offenlegungen von Börsen identifizieren in der Regel betroffene Wallet-Adressen, geben eine ungefähre Schätzung der Geldexposition an und legen einen Zeitplan des Vorfalls und der Reaktion dar. Wenn die TQKJQ-Adresse, wie ZachXBT' Analyse nahelegt, im April und Mai 2026 weiterhin Kundeneinlagen an CoinDCX' Hot Wallet weiterleitete, könnten Nutzer, die in diesem Zeitraum einzahlten, Gelder an eine Wallet gesendet haben, die die Börse intern als kompromittiert eingestuft hatte.

Öffentlich verfügb Mitteilungen von CoinDCX geben nicht an, ob interne Routing-Kontrollen diese Nutzer schützten oder ob sie einem zusätzlichen Risiko ausgesetzt waren.

Der breitere Marktkontext erhöht den Druck in der Transparenzfrage. Der Fear-and-Greed-Index wurde mit 68 gemeldet, im Bereich „Gier“ (Greed), was darauf hindeutet, dass Börsennutzer zum beschriebenen Zeitpunkt eher risikofreudig als vorsichtig waren. In einem solchen Umfeld können Offenlegungsversäumnisse zentralisierter Börsen erhebliche Reputationsschäden verursachen, wenn sie öffentlich werden, da Nutzer weniger auf der Hut sind, wenn die Informationen sie erreichen. Der Index wird von Alternative.me veröffentlicht.

Benötigte Beweise zur Klärung des Streits

Die relevanten On-Chain-Aufzeichnungen sind auf TRONs Ledger öffentlich zugänglich. Eine vollständige Klärung würde mehrere Informationen erfordern, die weder Ermittler noch Börse vollständig veröffentlicht haben.

Dazu gehört ein überprüfbarer TRON-Explorer-Eintrag für die spezifische TQKJQ-Adresse, der den vollständigen Transaktionsverlauf mit Zeitstempeln, Gegenparteien-Adressen und USDT-Beträgen zeigt. Die Ermittler müssten außerdem die Identität und vertragliche Beziehung des von ZachXBT genannten Liquiditätsanbieters feststellen. Schließlich müsste CoinDCX die in ZachXBT' Beitrag beschriebenen Transfers an seine Hot Wallet im April und Mai 2026 entweder bestätigen oder konkret widerlegen.

Die wichtigste offene Frage ist, ob CoinDCX' aktuelle Hot Wallet nach Juli 2025 Gelder von TQKJQ erhalten hat. Bestätigen sich diese Transfers on-chain, wäre CoinDCX' Erklärung, die Adressen seien nach dem Vorfall im Juli 2025 stillgelegt worden, faktisch unvollständig.

Eine weitere ungeklärte Frage ist, ob indische Finanzregulierungsbehörden einen Vorfallbericht entweder zur Verletzung im Juli 2025 oder zu den Bewegungen im Oktober 2026 erhalten haben. In den verfügbaren Unterlagen wurde keine regulatorische Einreichung oder Durchsetzungsmaßnahme gefunden.

Der Umgang zentralisierter Börsen mit Hot-Wallet-Verwahrung und Offenlegung von Sicherheitsvorfällen ist ebenfalls für die Bewertung des Streits relevant. Vergleiche zwischen CeFi-Aggregatoren und dezentralen Börsenprotokollen können Kontext zu verschiedenen Verwahrungsmodellen liefern; eine Berichterstattung dazu finden Sie in diesem Vergleich.

Die verfügbaren Beweise belegen weder, dass CoinDCX gelogen hat, noch dass ein neuer Hack stattgefunden hat. Sie belegen jedoch eine ungeklärte Diskrepanz zwischen CoinDCX' angegebenem Zeitplan zur Wallet-Stilllegung und der von ZachXBT dokumentierten On-Chain-Aktivität im April und Mai 2026.\nBis CoinDCX eine Abstimmung auf Transaktionsebene vorlegt oder ein unabhängiger Prüfer einen forensischen Bericht veröffentlicht, stehen Nutzer und Geschäftspartner ohne ein vollständiges öffentliches Bild bei den Verwahrungs- und Offenlegungsfragen rund um die Wallets da.