El exchange de criptomonedas indio CoinDCX ha reconocido fallas en su sistema de procesamiento de depósitos después de que casi 16 millones de dólares en USDT fueran transferidos desde billeteras vinculadas a la plataforma, revirtiendo una explicación anterior que señalaba que la actividad sospechosa involucraba únicamente direcciones abandonadas.

La admisión del 22 de octubre siguió a las acusaciones del investigador de blockchain ZachXBT, quien cuestionó la afirmación del exchange de que las billeteras señaladas habían estado inactivas desde una brecha de seguridad de 44 millones de dólares en julio de 2025. CoinDCX ahora reconoce que los depósitos siguieron llegando a esas direcciones y que su proceso para recolectar los fondos falló durante un período.

La empresa sostiene que los clientes afectados fueron acreditados, que las pérdidas operativas han sido absorbidas internamente y que los activos mantenidos en su infraestructura de custodia activa permanecen seguros.

Casi 16 millones de dólares en USDT se movieron a través de billeteras TRON

Las transferencias sospechosas comenzaron el 21 de octubre, cuando aproximadamente 15,99 millones de USDT y 5.784 TRX se movieron desde direcciones asociadas a CoinDCX hacia una billetera TRON recién creada.

El investigador de seguridad blockchain Darcy señaló primero las transacciones, identificando transferencias desde múltiples direcciones de depósito y billeteras atribuidas previamente al exchange. La transacción individual más grande involucró 15,82 millones de USDT saliendo de una sola dirección de depósito. La billetera receptora posteriormente distribuyó los fondos entre varias direcciones, con montos sustanciales que finalmente llegaron a cuentas asociadas con Binance, OKX y Gate.

Una transacción detallada reconstruida por la firma de análisis blockchain Bitquery identificó aproximadamente 40 billeteras afectadas, incluidas direcciones que siguieron procesando depósitos después del incidente de julio de 2025. Para el 22 de octubre, unos 9,63 millones de dólares habían llegado a direcciones de depósito identificadas del exchange, mientras que otros 2,28 millones permanecían en siete billeteras descendentes al momento del análisis de Bitquery.

ZachXBT cuestiona la negación inicial de CoinDCX

CoinDCX inicialmente rechazó las acusaciones, explicando que las direcciones señaladas habían sido creadas en enero de 2025, comprometidas durante su incidente de seguridad anterior y descontinuadas. El cofundador y CEO Sumit Gupta mantuvo por separado que ninguna billetera activa de la empresa o de clientes había transferido fondos las direcciones afectadas.

ZachXBT cuestionó esa versión, identificando una dirección de depósito que comienza con TQKJQ que permaneció conectada a la infraestructura operativa del exchange durante meses después de la brecha anterior. La dirección siguió recibiendo TRX para tarifas de transacción y transfiriendo depósitos a billeteras calientes vinculadas a CoinDCX hasta abril y mayo de 2026. Bitquery identificó 88 depósitos que totalizaban aproximadamente 15,82 millones de dólares que se habían acumulado en la dirección entre enero y marzo antes de ser transferidos durante el incidente de octubre.

La explicación revisada del exchange reconoció que los usuarios habían seguido depositando criptomonedas en direcciones descontinuadas a pesar de las instrucciones de dejar de usarlas. CoinDCX había mantenido un proceso automatizado para recolectar esos depósitos, pero reconoció que el barrido falló durante un período, lo que resultó en pérdidas operativas.

La mecánica detrás de ese faltante es un riesgo operativo conocido para los exchanges centralizados: las direcciones de depósito retiradas sobre el papel a menudo siguen recibiendo fondos de usuarios, y las plataformas normalmente ejecutan barridos automatizados para recolectar los depósitos extraviados y acreditar los saldos de los clientes. Cuando el proceso de barrido falla, un exchange puede terminar debiendo saldos de usuarios sobre activos que nunca recolectó realmente, la brecha que CoinDCX dice haber absorbido internamente en lugar de trasladarla a los usuarios.

ZachXBT posteriormente acusó al exchange de falta de transparenciahttps://x.com/zachxbt/status/2113264816546873716), criticando su rechazo inicial de la evidencia de las transacciones antes de que se reconocieran las fallas de procesamiento. El episodio también ilustra el papel de rendición de cuentas que ahora desempeñan los datos públicos de blockchain: la negación inicial de CoinDCX se mantuvo hasta que la evidencia en cadena subyacente —direcciones de depósito aún vinculadas a su infraestructura meses después de la brecha— fue documentada y publicada por investigadores independientes y firmas de análisis.

CoinDCX dice que los clientes fueron acreditados y que los fondos permanecen seguros

Según su posición revisada, todos los depósitos de clientes enviados a direcciones descontinuadas fueron acreditados a las cuentas de los usuarios, incluso cuando los activos correspondientes no habían sido recolectados con éxito. La empresa sostiene que sus billeteras operativas actuales no fueron comprometidas y que los activos de los clientes permanecen protegidos en custodia fría segregada. El trading y otros servicios del exchange continúan operando con normalidad. Para los usuarios, el episodio también subraya que los depósitos enviados a direcciones descontinuadas dependen de los procesos internos del exchange tanto para la acreditación como para la recuperación.

El exchange absorbió previamente aproximadamente 44 millones de dólares en pérdidas tras su [brecha de seguridad de julio de 2025, cuando atacantes comprometieron una cuenta operativa interna utilizada para provisión de liquidez. CoinDCX también había enfrentado preguntas anteriores sobre sus acuerdos de custodia, rechazando acusaciones sobre el traslado de activos de clientes indios a una entidad en el extranjero.

La disputa se produce en medio del escrutinio continuo de los exchanges de criptomonedas centralizados en India, donde la reestructuración de WazirX siguió a una brecha de seguridad separada de 230 millones de dólares que dejó a los clientes esperandoembolsos. ZachXBT también ha criticado previamente a KuCoin por su manejo de reportes de criptomonedas robadas, incluidas acusaciones de que las cuentas de depósito del exchange no fueron congeladas con suficiente rapidez.

CoinDCX no ha proporcionado públicamente una conciliación completa de los saldos de depósito afectados, el valor final de sus pérdidas operativas ni el estado de los esfuerzos de recuperación relacionados con el USDT transferido. Sus garantías de acreditación a clientes no han sido conciliadas de forma independiente con los registros contables internos del exchange. Esos puntos pendientes —una conciliación completa, una cifra final de pérdidas y cualquier actualización sobre la recuperación— son las divulgaciones clave a seguir a medida que la situación evoluciona.