La plateforme indienne d'échange de cryptomonnaies CoinDCX a déclaré la perte d'environ 15,99 millions d'USDT après le prélèvement de fonds depuis une ancienne infrastructure de portefeuille que la société n'utilise plus depuis 2025. CoinDCX a indiqué qu'elle assumerait l'intégralité de la perte et que les clients n'en supporteraient pas le coût.

La plateforme a précisé que ses portefeuilles actifs et ses systèmes de trading n'avaient pas été affectés. Les actifs des clients demeurent conservés dans des portefeuilles froids distincts, tandis que les transactions, les dépôts et les retraits se sont poursuivis sans interruption. CoinDCX a déclaré que les cryptomonnaies des clients restent en sécurité, non affectées et entièrement comptabilisées.

Cet incident met également en évidence un risque qui dépasse la compromission initiale : les adresses de dépôt obsolètes peuvent rester des canaux actifs tant que les utilisateurs continuent d'y envoyer des fonds, et les actifs qui s'y accumulent se trouvent en dehors du portefeuille sécurisé principal de la plateforme jusqu'à leur transfert.

Comment s'est produit l'incident du portefeuille CoinDCX

CoinDCX a déclaré avoir détecté pour la première fois une activité inhabituelle dans ses systèmes le 21 octobre 2026. La société a indiqué que ses contrôles existants ont empêché l'incident d'affecter ses portefeuilles actifs et ses systèmes de trading.

Update on the on-chain Wallet Activity – 21st October 2026 Our full update on the recent on-chain activity, what happened, and what it means for you. User funds remain safe, and trading and withdrawals continue as usual. Read the full update: — CoinDCX (@CoinDCX) October 25, 2026

Le lendemain, la plateforme a identifié des mouvements de fonds irréguliers dans les données de la blockchain et a reçu des signalements en ce sens de la part d'utilisateurs. Une enquête approfondie a révélé que l'activité visait une ancienne configuration de portefeuille présentant des faiblesses jusque-là inconnues.

Cette infrastructure de portefeuille avait été compromise lors d'un incident de sécurité le 19 juillet 2025. CoinDCX a indiqué avoir cessé d'utiliser cette après cette intrusion. Cependant, certains utilisateurs ont continué d'envoyer des dépôts vers les anciennes adresses au lieu d'utiliser les adresses mises à jour affichées dans l'application CoinDCX.

La plateforme a déclaré avoir continué de traiter ces dépôts afin que les utilisateurs ne perdent pas l'accès à leurs fonds. Son processus de dépôt comportait deux étapes distinctes. D'abord, les fonds étaient crédités sur le compte de l'utilisateur après leur arrivée. Un service automatisé distinct transférait ensuite, ou « balayait » (sweep), ces fonds vers le portefeuille sécurisé principal de la plateforme.

CoinDCX a indiqué que ce service de balayage était tombé en panne pendant une certaine période. Les dépôts se sont donc accumulés sur l'ancienne adresse et ont été exposés lorsque l'activité s'est produite. La société n'a pas divulgué la méthode complète utilisée pour retirer les fonds du portefeuille, ni identifié le responsable. Ces éléments non résolus restent essentiels pour déterminer si d'autres fonds pourront être retracés.

La mise à jour du 25 octobre de CoinDCX est disponible sur le site officiel de CoinDCX, et l'annonce de la société a également été publiée sur X.

Tether gèle une partie des fonds

Des rapports publiés les 24 et 25 octobre indiquaient que Tether avait placé sur liste noire les portefeuilles liés aux sorties de fonds. Tether, l'émetteur de l'USDT, peut bloquer les portefeuilles détenant son token. Comme ce contrôle s'opère au niveau du token, il peut immobiliser l'USDT même après le transfert des fonds hors de l'infrastructure d'une plateforme d'échange.

La société d'analyse blockchain AMLBot a déclaré qu'environ 2,2 millions de dollars avaient été gelés. Ce montant représente environ 13,8 % de la perte déclarée par CoinDCX. Un gel empêche le transfert des fonds, mais n'établit pas qu'ils ont été récupérés. CoinDCX devra confirmer tout recouvrement, tandis que les fonds restants doivent encore être tracés.

CoinDCX a déclaré avoir fonctionné pendant 72 heures sans interruption de service, sans limite de retrait ni perturbation des transactions. La société a également reconnu qu'elle « aurait pu faire preuve de plus de proactivité » dans la communication de l'incident. Elle a indiqué avoir attendu d'avoir une compréhension complète de la situation avant de publier une mise à jour.

La plateforme a déclaré prévoir de renforcer la surveillance et les contrôles autour de ses systèmes hérités. Elle publiera également des rappels réguliers indiquant que les anciennes adresses de dépôt ne sont conservées que pour une durée limitée. Pour les lecteurs suivant cette affaire, les points en suspens sont de savoir si une plus grande partie des fonds restants pourra être localisée ou gelée, si la méthode de retrait non divulguée sera un jour rendue publique, et si CoinDCX confirmera un recouvrement.

Dans sa mise à jour du 25 octobre, CoinDCX a conseillé aux utilisateurs de vérifier l'adresse de dépôt la plus récente dans l'application ou sur le site web avant chaque dépôt. La plateforme a averti que l'envoi de fonds vers d'anciennes adresses est extrêmement risqué et que les plateformes d'échange n'assument généralement pas de responsabilité pour les actifs qui leur sont envoyés. Cet épisode donne concr forme à cet avertissement : lorsque le balayage automatisé s'est arrêté, les dépôts envoyés vers des adresses obsolètes sont restés sur l'ancienne adresse et ont été exposés.

Le rapport original a été publié par Blockonomi.