La plateforme d'échange de cryptomonnaies indienne CoinDCX a confirmé une perte de 15,99 millions de dollars impliquant des adresses de portefeuilles compromises lors de l'incident de sécurité de juillet 2025. Selon l'entreprise, une défaillance opérationnelle a permis à des dépôts clients de s'accumuler dans des portefeuilles obsolètes, exposant les fonds à des pertes supplémentaires.

Dans un communiqué publié le 25 octobre, la plateforme a déclaré qu'elle assumerait l'intégralité de la perte, ajoutant que les fonds des clients restent protégés et que son infrastructure de trading active n'a pas été affectée.

Une défaillance du balayage automatisé à l'origine de la perte de 15,99 millions de dollars

CoinDCX a mis hors service son ancienne infrastructure de portefeuilles après la cyberattaque de juillet 2025, mais certains clients ont continué d'envoyer des cryptomonnaies vers les adresses retirées malgré les consignes d'utiliser les informations de dépôt mises à jour.

Pour protéger ces clients, la plateforme exploitait un service de balayage automatisé conçu pour transférer les dépôts des adresses retirées vers des portefeuilles sécurisés. Ce système est tombé en panne pendant une durée non précisée, permettant aux fonds de s'accumuler sur l'infrastructure compromise. L'entreprise n'a pas révélé la durée de la défaillance ni sa cause.

Les transferts blockchain confirmés étant irréversibles, les clients qui envoient des fonds vers une adresse retirée dépendent entièrement de l'opérateur pour les récupérer — c'est précisément la lacune que ces systèmes de balayage sont censés combler.

L'entreprise a détecté une activité inhabituelle le 21 octobre et, le lendemain, a commencé à examiner des transactions blockchain irrégulières. Son enquête a conclu que la défaillance du balayage avait entraîné une perte de 15,99 millions d'USDT, soit environ 15,99 millions de dollars. L'USDT est un stablecoin adossé au dollar américain, de sorte que la perte en jetons correspond directement au montant en dollars.

CoinDCX a indiqué avoir couvert l'impact financier et crédité les dépôts des clients concernés, soulignant que ses portefeuilles actuels, ses systèmes de trading et ses services de retrait continuaient de fonctionner normalement.

Les enquêteurs on-chain contestent les déclarations antérieures

Cette révélation est intervenue après que des enquêteurs blockchain ont signalé des transactions suspectes impliquant des adresses précédemment liées à CoinDCX. L'enquêteur on-chain ZachXBT, un chercheur connu pour retracer les cryptomonnaies volées, a remis en question l'explication initiale de la plateforme selon laquelle les portefeuilles concernés n'étaient plus opérationnels, citant une activité de transactions suggérant qu'au moins une adresse compromise avait continué d'interagir avec l'infrastructure de CoinDCX après l'attaque de 2025.

Le cofondateur Sumit Gupta avait d'abord écarté l'hypothèse d'une nouvelle faille de sécurité. La plateforme a ensuite reu la défaillance opérationnelle tout en maintenant que ses portefeuilles actifs n'avaient pas été compromis.

Des inquiétudes de sécurité après le piratage de 2025

Cet épisode fait suite à la cyberattaque de juillet 2025 contre CoinDCX, qui avait causé environ 44 millions de dollars de pertes sur un compte opérationnel interne. La plateforme avait alors indiqué que les actifs des clients n'avaient pas été affectés et s'était engagée à couvrir le dommage financier par ses réserves. Au total, les deux incidents de 2025 représentent environ 60 millions de dollars de pertes pour l'entreprise.

Cette nouvelle révélation souligne les risques liés aux adresses de dépôt de cryptomonnaies retirées et aux systèmes automatisés de gestion des fonds. Même après que les plateformes remplacent une infrastructure compromise, les dépôts qui continuent d'arriver sur d'anciennes adresses peuvent créer une exposition supplémentaire, ces points d'entrée se trouvant en dehors du périmètre de sécurité surveillé de la plateforme jusqu'à leur balayage.

CoinDCX a exhorté ses clients à vérifier les adresses de dépôt via son application officielle ou son site web avant tout transfert de cryptomonnaie.