El exchange indio de criptomonedas CoinDCX confirmó que perdió 15.99 millones de USDT, con un valor de aproximadamente 16 millones de dólares, después de que un proceso interno no lograra transferir los depósitos de los clientes fuera de billeteras que habían sido retiradas tras un hackeo en 2025.

La revelación revirtió la declaración anterior del cofundador y CEO Sumit Gupta, quien había afirmado que los reportes de una brecha eran una "falsa alarma". CoinDCX indicó en una publicación oficial en su blog que los fondos fueron drenados de su infraestructura de billeteras y que la compañía asumió la pérdida. Reiteró que los fondos y saldos de los clientes permanecen seguros.

Los fondos se movieron por la red Tron el 21 de octubre. CoinDCX atribuyó el incidente a una falla en un proceso interno diseñado para barrer los depósitos residuales de clientes desde billeteras que había dejado de usar tras un hackeo considerablemente mayor el año pasado. Las direcciones retiradas seguían recibiendo depósitos, mientras que un sistema de transferencia automatizado no logró mover esos fondos hacia las billeteras activas del exchange. Dado que las direcciones retiradas permanecen activas en las blockchains públicas, los depósitos enviados a ellas siguen siendo visibles en la cadena: esa visibilidad permitió que investigadores de blockchain y el rastreador de Arkham señalaran los flujos de salida una vez que los fondos se movieron.

La revelación se produjo tras varios días de afirmaciones contradictorias. Después de que investigadores de blockchain y el rastreador de Arkham señalaran aproximadamente 16 millones de dólares en flujos de salida sospechosos, Gupta escribió en X que las billeteras de CoinDCX no habían sido "comprometidas". Dijo que las direcciones señaladas habían sido comprometidas en julio de 2025 y que la actividad parecía ser "una falsa alarma".

El investigador on-chain ZachXBT impugnó esa explicación, señalando que la billetera en cuestión seguía barriendo depósitos de usuarios hacia la billetera caliente actual de CoinDCX tan recientemente como en abril y mayo. Instó a los clientes a retirar sus activos en una publicación en X:

Withdraw all funds from CoinDCX if you value your assets. Its co-founders are clowns running a circus. They publicly and privately denied a theft of its assets occurred meaning they straight up lied or are negligently incompetent. Later they disclosed the $16M theft and… pic.twitter.com/uEmtogPonq — ZachXBT (@zachxbt) October 22, 2026

Publicación en X

La última pérdida se suma a un período difícil para uno de los exchanges de criptomonedas más grandes de la India. CoinDCX sufrió un hackeo de aproximadamente 44 millones de dólares en julio de 2025, que atribuyó a una brecha en un servidor. El incidente llevó a una campaña de recompensas para recuperar los fondos robados y, posteriormente, al arresto de un empleado en relación con el ataque.

En conjunto, los dos incidentes han causado pérdidas de casi 60 millones de dólares. Las billeteras involucradas en el incidente más reciente eran un legado de la brecha anterior: CoinDCX había retirado las direcciones, pero los depósitos residuales seguían llegando a ellas. La falla del proceso de transferencia automatizado dejó esos fondos expuestos.

CoinDCX también ha enfrentado otros desafíos este año. Denuncias relacionadas con fraude y estafas de suplantación de identidad provocaron una investigación policial. Por separado, el fundador del exchange negó los reportes de que CoinDCX estaba en conversaciones de adquisición con Coinbase tras el hackeo de 2025. Coinbase ha tomado medidas independientes para expandirse en el sur de Asia y Medio Oriente.

CoinDCX dijo que proporcionará detalles adicionales a medida que continúa su investigación y reiteró que los saldos de los usuarios no se vieron afectados. Cómo falló la transferencia automatizada y por qué los depósitos residuales siguieron llegando a direcciones retiradas más de un año antes son algunas de las preguntas que la compañía aún debe responder.