CoinDCX, el exchange de criptomonedas más grande de India, negó que sus billeteras activas hayan sido comprometidas, después de que investigadores de blockchain señalaran salidas sospechosas por unos 16 millones de dólares desde direcciones vinculadas a la plataforma.

El exchange dijo que las transacciones señaladas involucraban antiguas direcciones de billetera comprometidas en un hackeo de julio de 2025 y que no se han usado desde entonces. Sin embargo, al menos un investigador on-chain replicó que una de esas direcciones siguió recibiendo depósitos e interactuando con la billetera actual de CoinDCX hasta 2026. Ese choque es lo que hace que el episodio sea más que una falsa alarma rutinaria: todo depende de si las direcciones que el exchange llama retiradas seguían conectadas a su flujo de depósitos activo — la diferencia entre hackers reutilizando direcciones muertas y un descuido operativo del lado de la plataforma.

CoinDCX reconoció que una falla temporal en su proceso de barrido de depósitos desde direcciones retiradas causó pérdidas operativas, las cuales absorbió tras reembolsar a los usuarios afectados.

"Las transacciones mencionadas en reclamos recientes involucran antiguas direcciones de billetera creadas en enero de 2025. Estas direcciones fueron comprometidas en julio de 2025 y no han sido utilizadas por CoinDCX desde entonces. La actividad que ahora se reporta corresponde a estas direcciones antiguas y no tiene ninguna conexión con CoinDCX", declaró el portavoz del exchange a CoinDesk. "Las direcciones centrales y de usuarios actuales de CoinDCX no han sido afectadas, y ningún fondo de CoinDCX proveniente de billeteras activas ha sido comprometido".

Cómo surgieron las sospechas

Las inquietudes surgieron el miércoles, cuando una usuaria de X llamada Darcy destacó una gran salida de fondos de la billetera caliente de CoinDCX y varias de sus direcciones de depósito. Las transferencias sumaron unos 16 millones de dólares en USDT, una stablecoin anclada al dólar, y en el token TRX de Tron.

Cada usuario de CoinDCX recibe una dirección de depósito personal, una cadena única de caracteres utilizada para enviar criptomonedas al exchange. La plataforma periódicamente "barre" esos depósitos, es decir, los traslada a sus propias billeteras principales para que todo quede en un solo lugar bajo su control. Parte de ese dinero va a una billetera caliente, una billetera conectada a internet utilizada para retiros cotidianos, mientras que el resto se mueve a billeteras frías, que se mantienen sin conexión. El barrido es una práctica estándar en los exchanges centralizados, razón por la cual las anomalías en ese flujo suelen interpretarse como posibles eventos de seguridad en lugar de tareas rutinarias.

Según Darcy, todos los fondos señalados fueron enviados a una única dirección de Tron, con la mayor transacción individual ascendiendo a 15,819,002 USDT. Esa dirección luego dividió el dinero entre varias billeteras distintas. La publicación señaló la salida como un presunto robo, generando temores de un nuevo hackeo en el exchange.

CoinDCX ya había sido víctima de un ataque en julio de 2025, perdiendo unos 44 millones de dólares en ese incidente.

El CEO lo califica de falsa alarma; un investigador lo contradice

El CEO de CoinDCX, Sumit Gupta, rechazó las acusaciones en X, afirmando que los hackers de julio de 2025 parecen estar reutilizando las antiguas direcciones de billetera y calificando el episod de falsa alarma. En otras palabras, la postura del exchange es que abandonó esas direcciones tras el hackeo y que son los hackers quienes siguen utilizándolas.

ZachXBT, un conocido investigador on-chain, cuestionó esa afirmación, diciendo que al menos una de esas direcciones, identificada como TQKJQ, seguía en uso.

"La dirección de depósito TQKJQ de CoinDCX fue utilizada por un LP durante 10 meses después de su incidente de julio de 2025 y barrió depósitos de usuarios + recibió gas tan recientemente como en abril y mayo de 2026 hacia su billetera caliente pública actual", dijo.

En términos sencillos, ZachXBT dijo que la dirección siguió recolectando depósitos de clientes y pasándolos a la billetera actual de CoinDCX hasta esta primavera. Un LP, o proveedor de liquidez, es una empresa que suministra órdenes de compra y venta a un exchange, mientras que el gas es la pequeña comisión que se paga para mover tokens en una blockchain. De corroborarse, ese relato difumina la línea clara que el exchange traza entre infraestructura retirada y activa — el núcleo del desacuerdo.

El exchange reconoce un lapsus en la limpieza

Al ser consultado sobre si la antigua dirección había quedado abandonada mientras seguía manejando dinero, CoinDCX dijo que había advertido a sus usuarios tras el hackeo de julio de 2025 que no depositaran fondos en direcciones comprometidas. El exchange ahora se refiere a estas direcciones como "obsoletas", o retiradas.

"A pesar de nuestras notificaciones anteriores, algunos usuarios continuaron depositando fondos en direcciones de depósito obsoletas en lugar de las más recientes", dijo el portavoz.

El exchange explicó que el proceso de barrido está destinado a capturar depósitos enviados a tales direcciones, pero que falló durante un período. CoinDCX dijo que reembolsó a todos los usuarios afectados. Añadió que los activos de los clientes están en billeteras frías y que sus direcciones actuales no fueron afectadas. La operativa continúa con normalidad. El hilo a seguir es si la documentación on-chain adicional zanja cuál de las dos versiones es la correcta — y cómo explica CoinDCX por qué una dirección obsoleta siguió barriendo depósitos mucho después del incidente de julio de 2025. Para los depositantes, las propias declaraciones del exchange dejan una lección práctica: enviar fondos solo a la dirección más reciente que muestre la plataforma, porque los depósitos a direcciones retiradas dependen por completo de que ese proceso de limpieza funcione.