Transacciones sospechosas desde una billetera vinculada desde hace tiempo al exchange indio de criptomonedas CoinCDX han desencadenado una nueva investigación por robo, después de que datos on-chain mostraran más de $15 millones en stablecoins saliendo de una dirección que fue expuesta en la brecha de julio de 2025 del exchange.

Las salidas se detectaron a última hora del 21 de octubre, con un total de $15.99 millones en USDT y 5,783.81 TRX. Los fondos se enviaron a una dirección intermediaria, que luego fue vaciada, y parte del USDT llegó a billeteras calientes de Binance, así como a OKX y Gate.

CoinCDX niega que la billetera esté actualmente bajo su control y afirma que la dirección fue señalada erróneamente en Arkham Intelligence.

"Las direcciones etiquetadas por Arkham pertenecían a CoinDCX antes del hackeo del año pasado, es decir, julio de 2025. Estas direcciones fueron generadas en enero de 2025 y fueron comprometidas en el hackeo anterior de julio de 2025. Los hackers parecen estar reutilizando las viejas direcciones de billetera y esto suena como una falsa alarma", explicó el cofundador del exchange, Sumit Gupta, en X.

La billetera de CoinCDX seguía usándose en protocolos DeFi

Si bien CoinCDX afirma que ni usó ni controló la billetera, la evidencia on-chain muestra que la dirección siguió activa mucho tiempo después del exploit de 2025. El investigador on-chain ZachXBT señaló que la billetera ha seguido usándose como proveedor de liquidez mientras también absorbía depósitos de usuarios. Además, advirtió que CoinCDX aún debe contabilizar alrededor de $15.8 millones en fondos de usuarios en una prueba de reservas transparente — la divulgación mediante la cual los exchanges permiten a los usuarios verificar que sus tenencias cubren los pasivos con los clientes.

En lugar de representar otro robo de billetera, el movimiento reciente de fondos podría mostrar que los usuarios de CoinCDX siguieron depositando en la billetera durante al menos 10 meses después del hackeo de 2025. ZachXBT también descubrió que las billeteras calientes actuales del exchange seguían enviando gas a la dirección comprometida hasta abril de 2026.

El episodio se suma a un historial problemático. Como informó previamente Cryptopolitan, CoinCDX ha sido señalado como un exchange utilizado en el lavado de fondos fraudulentos, y en 2025 también sufrió un hackeo que llevó hasta $44 millones.

CoinCDX es un exchange relativamente pequeño, con $1.15 millones en volumen diario durante las últimas 24 horas según CoinGecko. Su par más activo es entre fiat y USDT, con un número limitado de activos ofrecidos. La plataforma ya se considera intrínsecamente riesgosa, pero los últimos hallazgos han profundizado las dudas de que el operador del mercado pueda haber fallado en proteger los fondos de los usuarios, permitiendo que los depósitos rellenaran una billetera ya comprometida.

¿Se pueden recuperar los fondos de CoinCDX?

En un movimiento inusual, los fondos tomados de CoinCDX se trasladaron a exchanges centralizados. La mayor parte del monto estaba en USDT, lo que significa que Tether o los exchanges podrían congelarlos y revertir la pérdida — pero eso depende de que CoinCDX confirme que se produjo un exploit. Tether ha congelado USDT en casos de robo anteriores, por lo que si el emisor y las plataformas receptoras actúan para bloquear los fondos señalados es uno de los principales desarrollos a seguir a medida que avanza la investigación.

Los movimientos de fondos desde la billetera del explotador también repitieron el patrón del hackeo anterior de CoinCDX, en el que los fondos robados se lavaron a través de mercados centralizados.

Actualmente, se sospecha que CoinCDX tiene prácticas de seguridad defectuosas y que en realidad reutiliza sus billeteras comprometidas, sin proporcionar prueba suficiente de la seguridad de los fondos de los usuarios. El exchange emitió nuevamente una declaración diciendo que no interactuó con esas billeteras, en contraste con la evidencia on-chain.

La exposición de CoinCDX es un evento relativamente raro, ya que la mayoría de los hackeos tienen como objetivo protocolos descentralizados. El presunto exploit llega en un momento en que los usuarios de criptomonedas están más cautelosos ante los hackeos y las exposiciones accidentales, incluidas las claves privadas comprometidas a través de la brecha de Railway y los posibles efectos de las vulnerabilidades de PHP recién descubiertas.

El incidente de CoinCDX aún no se comprende por completo. Pero si el exchange desvió fondos de usuarios a una dirección comprometida, socavaría aún más la confianza en depositar criptomonedas en billeteras de exchanges.

La investigación on-chain ha encontrado vínculos adicionales entre las billeteras del hacker y dire utilizadas por CoinCDX, según señaló @DarcyAri, la cuenta que primero notó las transferencias sospechosas.