Indiens größte Krypto-Börse CoinDCX hat bestritten, dass ihre aktiven Wallets kompromittiert wurden, nachdem Blockchain-Ermittler rund 16 Millionen US-Dollar an verdächtigen Abflüssen von Adressen im Zusammenhang mit der Plattform festgestellt hatten.

Die Börse erklärte, die bemängelten Transaktionen beträfen alte Wallet-Adressen, die bei einem Hack im Juli 2025 kompromittiert worden seien und seitdem nicht mehr genutzt würden. Zumindest ein On-Chain-Ermittler hielt dem jedoch entgegen, dass eine dieser Adressen bis ins Jahr 2026 hinein weiter Einzahlungen erhielt und mit CoinDCX' aktueller Wallet interagierte. Genau dieser Widerspruch macht den Vorfall zu mehr als einem gewöhnlichen Fehlalarm: Alles hängt daran, ob Adressen, die die Börse als stillgelegt bezeichnet, noch in ihren aktiven Einzahlungsfluss eingebunden waren – der Unterschied zwischen Hackern, die tote Adressen wiederverwenden, und einem betrieblichen Versäumnis auf Plattformseite.

CoinDCX räumte ein, dass eine vorübergehende Störung seines Prozesses zum Einsammeln von Einzahlungen von stillgelegten Adressen zu operativen Verlusten führte, die es nach der Gutschrift der betroffenen Nutzer selbst übernahm.

"Die in aktuellen Behauptungen genannten Transaktionen betreffen alte Wallet-Adressen, die im Januar 2025 erstellt wurden. Diese Adressen wurden im Juli 2025 kompromittiert und seitdem nicht mehr von CoinDCX genutzt. Die jetzt gemeldete Aktivität bezieht sich auf diese alten Adressen und hat keinerlei Verbindung zu CoinDCX", teilte die Sprecherin der Börse CoinDesk mit. "Die aktuellen zentralen und Nutzer-Adressen von CoinDCX sind nicht betroffen, und es wurden keine CoinDCX-Mittel aus aktiven Wallets kompromittiert."

Wie sich die Verdachtsmomente ergaben

Die Bedenken wurden am Mittwoch geäußert, als ein X-Nutzer namens Darcy einen großen Abfluss aus CoinDCX' Hot Wallet und mehreren Einzahlungsadressen aufzeigte. Die Transaktionen beliefen sich auf insgesamt etwa 16 Millionen US-Dollar in USDT, einem an den Dollar gekoppelten Stablecoin, sowie im Token TRX von Tron.

JederDCX-Nutzer erhält eine persönliche Einzahlungsadresse, eine eindeutige Zeichenfolge, mit der Krypto an die Börse gesendet wird. Die Plattform "sweept" diese Einzahlungen regelmäßig, das heißt, sie verschiebt sie in ihre eigenen Haupt-Wallets, sodass alles an einem von ihr kontrollierten Ort liegt. Ein Teil dieses Geldes geht auf eine Hot Wallet, eine mit dem Internet verbundene Wallet für tägliche Auszahlungen, der Rest wird in Offline gehaltene Cold Wallets verlagert. Das Einsammeln ist bei zentralisierten Börsen Standard – deshalb werden Anomalien in diesem Ablauf in der Regel als mögliche Sicherheitsvorfälle und nicht als Routineverwaltung gewertet.

Nach Angaben von Darcy wurden alle bemängelten Gelder an eine einzige Tron-Adresse gesendet, wobei die größte Einzeltransaktion 15.819.002 USDT betrug. Diese Adresse verteilte das Geld anschließend auf mehrere verschiedene Wallets. Der Beitrag kennzeichnete den Abfluss als mutmaßlichen Diebstahl und löste Befürchtungen eines erneuten Hacks bei der Börse aus.

CoinDCX war zuvor bereits im Juli 2025 attackiert worden und verlor bei diesem Vorfall rund 44 Millionen US-Dollar.

CEO spricht von Fehlalarm; Ermittler widerspricht

CoinDCX-CEO Sumit Gupta widersprach auf X und erklärte, die Hacker vom Juli 2025 würden offenbar die alten Wallet-Adressen wiederverwenden; er bezeichnete den Vorfall als Fehlalarm. Mit anderen Worten: Die Börse vertritt die Position, sie habe diese Adressen nach dem Hack aufgegeben und die Hacker seien diejenigen, die sie weiterhin nutzen.

ZachXBT, ein bekannter On-Chain-Ermittler, widersprach dieser Darstellung und erklärte, mindestens eine dieser Adressen, gekennzeichnet als TQKJQ, werde weiterhin genutzt.

"Die CoinDCX-Einzahlungsadresse TQKJQ wurde von einem LP noch 10 Monate nach Ihrem Vorfall im Juli 2025 genutzt und hat Nutzer-Einzahlungen gesweept + noch im April & Mai 2026 Gas an Ihre aktuelle öffentliche Hot Wallet erhalten", sagte er.

ZachXBT sagte damit sinngemäß, die Adresse habe Kundeneinzahlungen weiter eingesammelt und bis in diesen Frühling an CoinDCX' aktuelle Wallet weitergeleitet. Ein LP, also ein Liquiditätsanbieter, ist ein Unternehmen, das einer Börse Kauf- und Verkaufsaufträge liefert, während Gas die kleine Gebühr ist, die für das Verschieben von Token auf einer Blockchain anfällt. Falls zutreffend, verwischt diese Darstellung die saubere Trennung, die die Börse zwischen stillgelegter und aktiver Infrastruktur zieht – der Kern des Streits.

Börse räumt Bereinigungspanne ein

Auf die Frage, ob die alte Adresse nicht aufgegeben worden sei, während sie weiterhin Gelder abwickelte, erklärte CoinDCX, sie habe Nutzer nach dem Hack im Juli 2025 gewarnt, keine Gelder an kompromittierte Adressen zu senden. Die Börse bezeichnet diese Adressen inzwischen als "deprecated", also stillgelegt.

"Trotz unserer Hinweise in der Vergangenheit haben einige Nutzer weiterhin Gelder an stillgelegte Einzahlungsadressen statt an die neuesten überwiesen", sagte die Sprecherin.

Die Börse erklärte, der Sweep-Prozess sei genau dafür da, solche Einzahlungen abzufangen, habe jedoch eine Zeit lang versagt. CoinDCX erklärte, jeder betroff Nutzer sei entschädigt worden. Die Kundengelder lägen in Cold Wallets, und die aktuellen Adressen seien nicht getroffen worden. Der Handel läuft wie gewohnt. Die entscheidende Frage bleibt, ob weitere On-Chain-Dokumentation klärt, welche Darstellung zutrifft – und wie CoinDCX erklärt, warum eine stillgelegte Adresse noch lange nach dem Vorfall vom Juli 2025 Einzahlungen eingesammelt hat. Für Einzahler liegt die praktische Lektion in den Aussagen der Börse selbst: Gelder nur an die jeweils neueste Adresse senden, die eine Plattform anzeigt, denn Einzahlungen an stillgelegte Adressen hängen vollständig davon ab, dass dieser Bereinigungsprozess funktioniert.