Die indische Kryptobörse CoinDCX hat Fehler in ihrem System zur Verarbeitung von Einzahlungen eingeräumt, nachdem nahezu 16 Millionen USDT von mit der Plattform verbundenen Wallets bewegt wurden – und nahm damit eine frühere Erklärung zurück, wonach die verdächtige Aktivität nur aufgegebene Adressen betraf.

Die Einräumung vom 22. Oktober folgte auf Vorwürfe des Blockchain-Ermittlers ZachXBT, der die Behauptung der Börse angefochten hatte, die markierten Wallets seien seit einer Sicherheitsverletzung im Wert von 44 Millionen US-Dollar im Juli 2025 inaktiv gewesen. CoinDCX räumt nun ein, dass Einzahlungen weiterhin auf diesen Adressen eingingen und der Prozess zum Einzug der Gelder über einen Zeitraum hinweg versagt hatte.

Das Unternehmen erklärt, betroffene Kunden seien gutgeschrieben worden, operative Verluste seien intern absorbiert worden und die in der aktiven Verwahrungsinfrastruktur gehaltenen Assets blieben sicher.

Nahezu 16 Millionen USDT über TRON-Wallets bewegt

Die verdächtigen Transfers begannen am 21. Oktober, als etwa 15,99 Millionen USDT und 5.784 TRX von Adressen, die mit CoinDCX in Verbindung gebracht werden, in eine neu erstellte TRON-Wallet bewegt wurden.

Der Blockchain-Sicherheitsforscher Darcy flaggte die Transaktionen zunächst und identifizierte Transfers von mehreren Einzahlungsadressen und Wallets, die zuvor der Börse zugeordnet worden waren. Die größte einzelne Transaktion betraf15,82 Millionen USDT, die eine einzige Einzahlungsadresse verließen. Die empfangende Wallet verteilte die Mittel anschließend auf mehrere Adressen, wobei erhebliche Beträge schließlich auf Konten im Umfeld von Binance, OKX und Gate gelangten.

Eine detaillierte Transaktionsrekonstruktion des Blockchain-Analyseunternehmens Bitquery identifizierte etwa 40 betroffene Wallets, darunter Adressen, die auch nach dem Vorfall im Juli 2025 weiterhin Einzahlungen verarbeiteten. Bis zum 22. Oktober waren rund 9,63 Millionen US-Dollar auf identifizierte Börsen-Einzahlungsadressen gelangt, während sich zum Zeitpunkt von Bitquerys Analyse weitere 2,28 Millionen US-Dollar in sieben nachgelagerten Wallets befanden.

ZachXBT widerspricht CoinDCX' erster Dementi

CoinDCX wies die Vorwürfe zunächst zurück und erklärte, die markierten Adressen seien im Januar 2025 erstellt, während des früheren Sicherheitsvorfalls kompromittiert und anschließend stillgelegt worden. Mitgründer und CEO Sumit Gupta erklärte separat, dass keine aktiven Firmen- oder Kunden-Wallets Gelder an die betroffenen Adressen überwiesen hätten.

ZachXBT widersprach dieser Darstellung und identifizierte eine Einzahlungsadresse mit dem Anfang TQKJQ, die noch monatelang nach der früheren Sicherheitsverletzung mit der operativen Infrastruktur der Börse verbunden blieb. Die Adresse erhielt weiterhin TRX für Transaktionsgebühren und überwies Einzahlungen noch im April und Mai 2026 an mit CoinDCX verbundene Hot Wallets. Bitquery identifizierte 88 Einzahlungen im Gesamtwert von rund 15,82 Millionen US-Dollar, die sich zwischen Januar und März auf der Adresse angesammelt hatten, bevor sie während des Oktober-Vorfalls abgeflossen sind.

In seiner überarbeiteten Erklärung räumte die Börse ein, dass Nutzer trotz entsprechender Anweisungen weiterhin Kryptowährungen auf stillgelegte Adressen eingezahlt hatten. CoinDCX unterhielt zwar einen automatisierten Prozess zum Einzug dieser Einzahlungen, räumte jedoch ein, dass dieser Sammelprozess über einen Zeitraum hinweg versagt hatte, was zu operativen Verlusten führte.

Die Mechanik hinter dieser Lücke ist ein bekanntes operationales Risiko zentralisierter Börsen: Auf dem Papier stillgelegte Einzahlungsadressen erhalten oft weiterhin Nutzer-Gelder, und Plattformen führen üblicherweise automatisierte Sammelprozesse durch, um die verirrten Einzahlungen einzuziehen und Kundenguthaben zu gutschreiben. Versagt dieser Prozess, kann eine Börse am Ende Guthaben schulden, ohne zugrunde liegenden Assets tatsächlich eingezogen zu haben – genau die Lücke, die CoinDCX zufolge intern absorbiert wurde, statt sie auf die Nutzer abzuwälzen.

ZachXBT warf der Börse anschließend mangelnde Transparenz vorhttps://x.com/zachxbt/status/2113264816546873716) und kritisierte ihre anfängliche Zurückweisung der Transaktionsnachweise, bevor die Verarbeitungsfehler eingeräumt wurden. Der Vorfall zeigt zudem, welche Kontrollfunktion öffentliche Blockchain-Daten heute einnehmen: Das anfängliche Dementi von CoinDCX hielt sich, bis die zugrunde liegenden On-Chain-Beweise – Einzahlungsadressen, die noch monatelang nach der Sicherheitsverletzung mit ihrer Infrastruktur verbunden waren – von unabhängigen Ermittlern und Analyseunternehmen dokumentiert und veröffentlicht wurden.

CoinDCX: Kunden wurden gutgeschrieben, Gelder bleiben sicher

Nach der überarbeiteten Darstellung wurden alle an stillgelegte Adressen gesendeten Kundeneinzahlungen den Nutzerkonten gutgeschrieben, selbst wenn die entsprechenden Assets nicht erfolgreich eingezogen worden waren. Das Unternehmen erklärt, seine aktuellen operativen Wallets seien nicht kompromittiert worden und Kundenguthaben blieben in getrennter Cold Storage geschützt. Der Handel und andere Börsendienste laufen normal weiter. Für Nutzer unterstreicht der Vorfall zudem, dass Einzahlungen an stillgelegte Adressen bei Gutschrift wie bei Rückholung von den internen Prozessen einer Börse abhängen.

Die Börse hatte zuvor bereits etwa 44 Millionen US-Dollar an Verlusten infolge ihrer [Sicherheitsverletzung im Juli 2025 getragen, bei der Angreifer ein internes operatives Konto für die Liquiditätsbereitstellung kompromittiert hatten. Zuvor hatte CoinDCX auch Fragen zu seiner Verwahrungsstruktur beantworten müssen und Vorwürfe zurückgewiesen, indische Kundenguthaben seien an eine ausländische Einheit verlagert worden.

Der Streit fällt in eine Zeit anhaltender Prüfung zentralisierter Kryptobörsen in Indien, wo die Restrukturierung von WazirX auf einen separaten Sicherheitsvorfall mit 230 Millionen US-Dollar folgte, der Kunden auf ihre Rückzahlungen warten lässt. ZachXBT hatte zuvor auch KuCoin wegen des Umgangs mit Berichten über gestohlene Kryptowährungen kritisiert, einschließlich des Vorwurfs, Börsen-Einzahlungskonten seien nicht schnell genug eingefroren worden.

CoinDCX hat bislang keine vollständige Abstimmung der betroffenen Einzahlungsguthaben, den endgültigen Wert seiner operativen Verluste oder den Stand etwaiger Bemühungen zur Wiedererlangung der transferierten USDT veröffentlicht. Die Zusicherungen zur Gutschrift der Kunden wurden bislang nicht unabhängig gegen die internen Buchhaltungsunterlagen der Börse abgeglichen. Diese offenen Punkte – eine vollständige Abstimmung, eine endgültige Verlustsumme und etwaige Updates zur Wiedererlangung – sind die wichtigsten Informationen, auf die es im weiteren Verlauf ankommt.