Des transactions suspectes depuis un portefeuille depuis longtemps lié à l'échange crypto indien CoinCDX ont déclenché une nouvelle enquête pour vol, après que des données on-chain ont montré que plus de 15 millions de dollars de stablecoins ont quitté une adresse exposée lors de la violation de juillet 2025.

Les sorties ont été détectées tard dans la soirée du 21 octobre, pour un total de 15,99 millions de dollars en USDT et 5 783,81 TRX. Les fonds ont été acheminés vers une adresse intermédiaire, ensuite vidée, une partie des USDT atteignant les hot wallets de Binance ainsi que OKX et Gate.

CoinCDX nie que le portefeuille soit actuellement sous son contrôle, affirmant que l'adresse a été signalée à tort sur Arkham Intelligence.

« Les adresses signalées par Arkham appartenaient auparavant à CoinDCX avant le piratage de l'année dernière, soit juillet 2025. Ces adresses ont été générées en janvier 2025 et compromises lors du précédent piratage de juillet 2025. Les pirates semblent réutiliser les anciennes adresses de portefeuille et cela ressemble à une fausse alerte », a expliqué sur X le cofondateur de l'échange, Sumit Gupta.

Le portefeuille de CoinCDX était toujours utilisé dans des protocoles DeFi

Alors que CoinCDX affirme n'avoir ni utilisé ni contrôlé le portefeuille, les preuves on-chain montrent que l'adresse est restée active bien après l'exploitation de 2025. Le chercheur on-chain ZachXBT a noté que le portefeuille a toujours été utilisé comme fournisseur de liquidité, tout en aspirant les dépôts des utilisateurs. Il a également signalé que CoinCDX n'a pas encore justifié d'environ 15,8 millions de dollars fonds d'utilisateurs dans une preuve de réserves transparente — la divulgation permettant aux utilisateurs de vérifier que les avoirs couvrent les engagements envers les clients.

Plutôt que de représenter un nouveau vol de portefeuille, les récents mouvements de fonds pourraient plutôt montrer que les utilisateurs de CoinCDX ont continué à déposer sur le portefeuille pendant au moins 10 mois après le piratage de 2025. ZachXBT a également découvert que les hot wallets actuels de l'échange envoyaient encore du gas à l'adresse compromise jusqu'en avril 2026.

L'épisode s'ajoute à un bilan déjà entaché. Comme l'ont précédemment rapporté Cryptopolitan, CoinCDX a été signalée comme un échange utilisé pour le blanchiment de fonds frauduleux et, en 2025, elle a également subi un piratage ayant emporté jusqu'à 44 millions de dollars.

CoinCDX est un échange relativement petit, avec 1,15 million de dollars de volume quotidien au cours des dernières 24 heures selon CoinGecko. Sa paire la plus active est celle entre monnaie fiduciaire et USDT, avec un nombre limité d'actifs proposés. La plateforme est déjà perçue comme intrinsèquement risquée, mais les dernières découvertes ont renforcé les doutes quant à une possible défaillance de l'opérateur dans la protection des fonds des utilisateurs, permettant aux dépôts de réalimenter un portefeuille déjà compromis.

Les fonds de CoinCDX peuvent-ils être récupérés ?

De manière inhabituelle, les fonds pris à CoinCDX ont été transférés vers des plateformes centralisées. La majeure partie des montants était détenue en USDT, ce qui signifie que Tether ou les plateformes pourraient geler et annuler la perte — mais cela dépend de la reconnaissance par CoinCDX qu'une exploitation a eu lieu. Tether a déjà gelé des USDT dans des affaires de vol antérieures ; la question de savoir si l'émetteur et les plateformes destinataires bloqueront les fonds signalés constitue l'un des principaux points à suivre au fil de l'enquête.

Les mouvements de fonds depuis le portefeuille de l'attaquant ont également reproduit le schéma du précédent piratage de CoinCDX, où les fonds volés avaient été blanchis via des marchés centralisés.

À l'heure actuelle, CoinCDX est soupçonnée de pratiques de sécurité défaillantes et de réutiliser effectivement ses portefeuilles compromis, sans apporter de preuve suffisante de la sécurité des fonds des utilisateurs. L'échange a de nouveau publié une déclaration indiquant n'avoir pas interagi avec ces portefeuilles, en contradiction avec les preuves on-chain.

L'exposition de CoinCDX un événement relativement rare, car la plupart des piratages visent des protocoles décentralisés. L'exploitation suspectée survient à un moment où les utilisateurs de crypto se montrent plus méfiants face aux piratages et aux expositions accidentelles, notamment les clés privées compromises via la violation de Railway et les effets potentiels des vulnérabilités PHP récemment découvertes.

L'incident de CoinCDX n'est pas encore entièrement compris. Mais si l'échange a détourné les fonds des utilisateurs vers une adresse compromise, cela nuirait davantage à la confiance dans le dépôt de cryptos sur les portefeuilles des plateformes.

La recherche on-chain a révélé des liens supplémentaires entre les portefeuilles du pirate et les adresses utilisées par CoinCDX, comme l'a noté @DarcyAri, le compte ayant remarqué le premier les transferts suspects.