Des enquêteurs blockchain contestent publiquement la version de CoinDCX concernant un incident de sécurité déclaré de 16 millions de dollars, alléguant que l'échange crypto indien a déformé l'origine et la chronologie d'une activité suspecte de portefeuille signalée le 22 octobre 2026. Le différend porte sur une adresse de dépôt basée sur TRON et sur la question de savoir si les fonds qui y ont transité après un piratage divulgué en juillet 2025 ont été correctement comptabilisés ou transférés sans que les utilisateurs en soient informés.

Ces allégations ont également été rapportées par Protos.

Les allégations des enquêteurs

L'enquêteur Darcy, en collaboration avec le groupe de recherche en sécurité Salus, a signalé environ 16 millions de dollars de mouvements suspects depuis des adresses soupçonnées d'être liées à l'infrastructure de garde de CoinDCX.

Le portefeuille central est une adresse basée sur TRON identifiée par la chaîne TQKJQ. Selon l'enquêteur on-chain ZachXBT, cette adresse de dépôt est restée activement utilisée par un fournisseur de liquidité pendant 10 mois après l'incident de sécurité de juillet 2025 publiquement divulgué par CoinDCX, que l'échange avait déjà reconnu. Il a également indiqué que l'adresse avait reçu du gas et transféré des dépôts d'utilisateurs vers le hot wallet public actuel de CoinDCX aussi récemment qu'en avril et mai 2026.

La terminologie compte pour les lecteurs qui suivent ce différend : les adresses de dépôt collectent les fonds entrants des clients, les hot wallets détiennent les soldes qu'un échange utilise pour les retraits quotidiens, et le gas est le frais facturé par une blockchain pour traiter les transferts. Un sweep consolide les fonds d'une adresse vers une autre, tandis qu'un fournisseur de liquidité est une société externe qui fournit de la profondeur de marché aux marchés d'un échange.

ZachXBT a publié le message suivant sur X, s'adressant directement à CoinDCX :

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was uned for by your team. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

La publication est accessible via X et ce lien direct X.

ZachXBT a indiqué que 15,8 millions de dollars de dépôts d'utilisateurs n'avaient pas été comptabilisés par l'équipe de CoinDCX. Ce chiffre représente son interprétation on-chain de l'activité du portefeuille TQKJQ. Il n'a pas été audité de manière indépendante ni confirmé par un examen forensique tiers.

Ce qui reste non vérifié

L'allégation centrale — selon laquelle les mouvements d'octobre 2026 constituent un piratage nouveau ou en cours plutôt qu'une activité liée à des portefeuilles précédemment compromis — reste contestée et non confirmée. Les preuves disponibles n'incluaient pas un ensemble de transactions indépendamment vérifié via un explorateur de blocs prouvant l'attribution de propriété des portefeuilles concernés. Les registres publics enregistrent les transferts entre adresses mais n'identifient pas qui contrôle un portefeuille ; l'attribution dépend de la confirmation de l'échange, de ses contreparties ou d'un examinateur forensique.

CoinDCX n'a publié ni analyse post-mortem forensique ni dépôt réglementaire traitant spécifiquement des mouvements d'octobre 2026. Les preuves disponibles n'établissent donc ni qu'un nouveau piratage a eu lieu ni que CoinDCX a délibérément induit les utilisateurs en erreur.

La réponse de CoinDCX

CoinDCX a publiquement qualifié de trompeuses les affirmations concernant les adresses et les transactions. L'échange a déclaré que l'activité signalée impliquait des adresses créées début 2025 qui avaient été compromises lors de l'incident de sécurité de juillet 2025 puis mises hors service. Il a également indiqué que les utilisateurs avaient été avertis de ne pas déposer sur les adresses de portefeuille compromises.

Dans un communiqué de suivi, CoinDCX a déclaré que l'activité du portefeuille TQKJQ était liée à ces adresses de début 2025. L'échange a soutenu que les mouvements on-chain identifiés par les enquêteurs étaient attribuables à l'incident précédemment divulgué plutôt qu'à une nouvelle intrusion.

Les déclarations de CoinDCX sont accessibles via son compte X et sa publication de suivi. L'échange n'a fourni aucune réconciliation des transactions par ordre chronologique ni identifié publiquement le fournisseur de liquidité mentionné par ZachXBT.

Le désaccord porte principalement sur la chronologie et les flux de fonds. Selon la version de CoinDCX, la compromission concernée date de juillet 2025 et les adresses affectées ont été mises hors service après l'incident. Selon l'interprétation on-chain de ZachXBT, des mouvements de fonds, des transferts de gas et des interactions avec le hot wallet sont survenus aussi récemment qu'en mai 2026. Si cette interprétation est exacte, les divulgations publiques de l'échange ne couvriraient pas l'intégralité du cycle de vie opérationnel du portefeuille.

Aucune des parties n'a résolu ce différend factuel spécifique avec une documentation publique vérifiable.

L'approbation récente par la CCI (le régulateur de la concurrence indien) de l'acquisition d'une participation dans CoinDCX par Coinbase donne à l'incident une importance supplémentaire, car les partenaires institutionnels examineront la posture de sécurité et les normes de divulgation de CoinX dans le cadre de la due diligence en cours. De plus amples détails sur l'approbation sont disponibles dans notre couverture de l'approbation de la participation de Coinbase dans CoinDCX.

Questions pour les utilisateurs de CoinDCX

Pour les utilisateurs qui détenaient de l'USDT ou d'autres actifs sur CoinDCX en 2025 et 2026, le différend soulève des questions de garde et de comptabilité que l'échange n'a pas traitées au niveau des transactions. L'USDT est un stablecoin adossé au dollar émis sur plusieurs blockchains publiques, dont TRON. L'avertissement « do not deposit » de CoinDCX indique que l'échange savait que des adresses de portefeuille spécifiques avaient été compromises. Cependant, les archives publiques ne montrent pas si les utilisateurs détenant des fonds sur ces adresses ont été informés individuellement ou remboursés.

Les divulgations d'incidents de sécurité identifient généralement les adresses de portefeuille affectées, fournissent une estimation approximative de l'exposition des fonds et établissent une chronologie de la violation et de la réponse. Si l'adresse TQKJQ a continué d'acheminer les dépôts des utilisateurs vers le hot wallet de CoinDCX en avril et mai 2026, comme le suggère l'analyse de ZachXBT, les utilisateurs ayant déposé pendant cette période peuvent avoir envoyé des fonds vers un portefeuille que l'échange avait classé en interne comme compromis.

Les communications publiques de CoinDCX ne précisent pas si des contrôles internes d'acheminement ont protégé ces utilisateurs ni s'ils ont été exposés à un risque supplémentaire.

Le contexte de marché plus large ajoute de la pression sur la question de la transparence. L'indice Fear and Greed était signalé à 68, en territoire « Greed » (Cupidité), indiquant que les utilisateurs d'échanges étaient plus tolérants au risque plutôt que plus prudents à la période décrite. Dans un tel environnement, les manquements à la divulgation des échanges centralisés peuvent avoir d'importantes conséquences réputationnelles lorsqu'ils deviennent publics, car les utilisateurs peuvent être moins sur leurs gardes au moment où l'information leur parvient. L'indice est publié par Alternative.me.

Les preuves nécessaires pour résoudre le différend

Les enregistrements on-chain pertinents sont accessibles publiquement sur le registre de TRON. Une résolution complète nécessiterait plusieurs informations que ni les enquêteurs ni l'échange n'ont publiées intégralement.

Celles-ci incluent une entrée vérifiable d'un explorateur TRON pour l'adresse spécifique TQKJQ montrant son historique complet de transactions, horodatages, adresses des contreparties et montants en USDT. Les enquêteurs devraient également établir l'identité et la relation contractuelle du fournisseur de liquidité cité par ZachXBT. Enfin, CoinDCX devrait confirmer ou réfuter spécifiquement les transferts d'avril et mai 2026 vers son hot wallet décrits dans la publication de ZachXBT.

La question la plus importante sans réponse est de savoir si le hot wallet actuel de CoinDCX a reçu des fonds de TQKJQ après juillet 2025. Si les transferts sont confirmés on-chain, la déclaration de CoinDCX selon laquelle les adresses ont été mises hors service après l'incident de juillet 2025 serait factuellement incomplète.

Une autre question non résolue est de savoir si les régulateurs financiers indiens ont reçu un rapport d'incident concernant la violation de juillet 2025 ou les mouvements d'octobre 2026. Aucun dépôt régaire ni mesure d'exécution n'a été identifié dans les preuves disponibles.

La manière dont les échanges centralisés gèrent la garde des hot wallets et la divulgation des incidents de sécurité est également pertinente pour ce différend. Les comparaisons entre agrégateurs de finance centralisée et protocoles d'échange décentralisé peuvent fournir un contexte sur les différents modèles de garde ; une couverture de ce sujet est disponible dans cette comparaison.

Les preuves disponibles n'établissent ni que CoinDCX a menti ni qu'un nouveau piratage a eu lieu. Elles établissent un écart non résolu entre la chronologie de mise hors service des portefeuilles avancée par CoinDCX et l'activité on-chain documentée par ZachXBT en avril et mai 2026.

Tant que CoinDCX ne fournit pas une réconciliation au niveau des transactions ou qu'un auditeur tiers ne publie pas un rapport forensique, les utilisateurs et les contreparties ne disposent pas d'un compte rendu public complet des questions de garde et de divulgation entourant ces portefeuilles.