La casa de criptomonedas india CoinDCX informó que absorbió una pérdida de 15,99 millones de dólares después de que un proceso interno fallido permitiera que los depósitos de clientes se acumularan en una cartera de criptomonedas retirada, vinculada al ataque de seguridad de 44 millones de dólares que la compañía sufrió en julio de 2025.

Según la casa de cambio, algunos usuarios continuaron enviando fondos a las antiguas direcciones de depósito a pesar de las instrucciones de usar carteras actualizadas. Un servicio automatizado encargado de recoger los depósitos extraviados y trasladarlos a las carteras principales de CoinDCX falló durante un período no especificado, lo que derivó en la pérdida. Los servicios de barrido como el que falló son una infraestructura de rutina en las operaciones de tesorería de las casas de cambio, y el episodio muestra cómo un solo fallo silencioso en esa capa puede convertir depósitos residuales en un golpe directo al balance de un operador.

La empresa subrayó que la infraestructura activa no fue tocada, señalando que sus carteras activas, sistemas de trading y saldos de clientes no sufrieron afectación y que los fondos de los usuarios permanecen protegidos en carteras frías segregadas. La distinción es importante: el faltante recayó en los libros de la propia casa de cambio y no en las cuentas individuales de los clientes.

La revelación llegó después de desmentidos iniciales sobre salidas sospechosas señaladas por investigadores de blockchain. El investigador on-chain ZachXBT, quien fue uno de los primeros en alertar sobre el hackeo de julio de 2025, cuestionó públicamente la versión de la casa de cambio sobre la actividad relacionada con las direcciones retiradas. El director ejecutivo de CoinDCX, Sumit Gupta, había calificado inicialmente los reportes como una falsa alarma.

CoinDCX, fundada en 2018 por Sumit Gupta y Neeraj Khandelwal, figura entre las mayores casas de criptomonedas de India. En julio de 2025, unos 44 millones de dólares fueron drenados de una de sus cuentas internas utilizadas para provisión deidez. En ese momento, la compañía afirmó que las carteras de los clientes no fueron afectadas y que asumiría la pérdida con su propia tesorería. En conjunto, el hackeo y el fallo del servicio de barrido de depósitos implican que la casa de cambio ya ha cargado con cerca de 60 millones de dólares en pérdidas entre ambos episodios.

El incidente pone de relieve los riesgos operativos y de seguridad que implica gestionar infraestructura de carteras heredadas, incluso después de que las direcciones hayan sido retiradas tras un ataque. Dar de baja las direcciones expuestas es solo una parte del trabajo después de un explot importante; los fondos que siguen llegando a puntos finales retirados deben ser capturados y conciliados, y la propia revelación de CoinDCX muestra el costo de omitir ese paso. La casa de cambio dijo que reforzará el monitoreo y los controles de sus sistemas obsoletos —hasta ahora su principal medida concreta, dado que no ha detallado cuánto tiempo estuvo caído el servicio de barrido.