La plus grande plateforme d'échange de crypto en Inde, CoinDCX, a nié que ses portefeuilles actifs aient été compromis, après que des enquêteurs blockchain ont signalé environ 16 millions de dollars de sorties suspectes depuis des adresses liées à la plateforme.

L'échange a déclaré que les transactions signalées impliquaient d'anciennes adresses de portefeuille compromises lors d'un piratage en juillet 2025 et inutilisées depuis. Cependant, au moins un enquêteur on-chain a rétorqué que l'une de ces adresses a continué de recevoir des dépôts et d'interagir avec le portefeuille actuel de CoinDCX jusqu'en 2026. C'est cette divergence qui rend l'épisode plus qu'une simple fausse alerte : tout dépend de savoir si les adresses que l'échange qualifie de retirées étaient encore connectées à son flux de dépôts en activité — la différence entre des pirates réutilisant des adresses mortes et une défaillance opérationnelle du côté de la plateforme.

CoinDCX a reconnu qu'une défaillance temporaire de son processus de balayage des dépôts depuis des adresses retirées avait causé des pertes opérationnelles, qu'elle a absorbées après avoir crédité les utilisateurs concernés.

« Les transactions mentionnées dans les affirmations récentes impliquent d'anciennes adresses de portefeuille créées en janvier 2025. Ces adresses ont été compromises en juillet 2025 et ne sont plus utilisées par CoinDCX depuis. L'activité signalée actuellement concerne ces anciennes adresses et n'a aucun lien avec CoinDCX », a déclaré le porte-parole de l'échange à CoinDesk. « Les adresses centrales et utilisateurs actuelles de CoinDCX n'ont pas été impactées, et aucun fonds CoinDCX provenant de portefeuilles actifs n'a été compromis. »

Comment les soupçons sont apparus

Les inquiétudes ont été soulevées mercredi, lorsqu'un utilisateur de X nommé Darcy a signalé une sortie importante depuis le portefeuille chaud de CoinDCX et plusieurs de ses adresses de dépôt. Les transferts totalisaient environ 16 millions de dollars en USDT, un stablecoin adossé au dollar, et en TRX, le token de Tron.

Chaque utilisateur de CoinDCX reçoit une adresse de dépôt personnelle, une chaîne de caractères unique utilisée pour envoyer des cryptomonnaies à l'échange. La plateforme « balaye » régulièrement ces dépôts, c'est-à-dire qu'elle les transfère vers ses propres portefeuilles principaux afin que tout soit regroupé en un seul endroit qu'elle contrôle. Une partie de ces fonds va vers un portefeuille chaud, un portefeuille connecté à internet utilisé pour les retraits quotidiens, tandis que le reste est déplacé vers des portefeuilles froids, qui sont conservés hors ligne. Le balayage est une pratique standard sur les échanges centralisés, c'est pourquoi les anomalies dans ce flux sont généralement interprétées comme des incidents de sécurité potentiels plutôt que comme une simple maintenance de routine.

Selon Darcy, tous les fonds signalés ont été envoyés vers une seule adresse Tron, la plus grande transaction s'élevant à 15 819 002 USDT. Cette adresse a ensuite réparti les fonds entre plusieurs portefilles différents. La publication a signalé la sortie comme un vol présumé, suscitant des craintes d'un nouveau piratage de l'échange.

CoinDCX avait déjà été exploitée en juillet 2025, perdant environ 44 millions de dollars lors de cet incident.

Le PDG évoque une fausse alerte ; un enquêteur conteste

Le PDG de CoinDCX, Sumit Gupta, a réagi sur X, déclarant que les pirates de juillet 2025 semblent réutiliser les anciennes adresses de portefeuille et qualifiant l'épisode de fausse alerte. Autrement dit, la position de l'échange est qu'il a abandonné ces adresses après le piratage et que ce sont les pirates qui les utilisent encore.

ZachXBT, un enquêteur on-chain renommé, a contesté cette affirmation, déclarant qu'au moins une de ces adresses, référencée TQKJQ, était toujours en service.

« L'adresse de dépôt CoinDCX TQKJQ a été utilisée par un LP pendant 10 mois après votre incident de juillet 2025 et a balayé des dépôts d'utilisateurs + reçu du gas aussi récemment qu'en avril & mai 2026 vers votre portefeuille chaud public actuel », a-t-il déclaré.

En clair, ZachXBT a indiqué que l'adresse a continué de collecter des dépôts de clients et de les transférer vers le portefeuille actuel de CoinDCX jusqu'au printemps dernier. Un LP, ou fournisseur de liquidité, est une entreprise qui fournit des ordres d'achat et de vente à un échange, tandis que le gas correspond aux petits frais payés pour déplacer des tokens sur une blockchain. Si cette version s'avère exacte, elle brouille la frontière nette que l'échange trace entre les infrastructures retirées et actives — le cœur du désaccord.

L'échange reconnaît un manquement dans le nettoyage

Interrogé sur le fait que l'ancienne adresse n'aurait pas été abandonnée tout en continuant de traiter des fonds, CoinDCX a indiqué avoir averti ses utilisateurs après le piratage de juillet 2025 de ne pas déposer de fonds vers les adresses compromises. L'échange qualifie désormais ces adresses de « dépréciées », ou retirées.

« Malgré nos notifications passées, certains utilisateurs ont continué à déposer des fonds vers des adresses de dépôt dépréciées plutôt que vers les plus récentes », a déclaré le porte-parole.

L'échange a précisé que le processus de balayage est censé capter les dépôts envoyés vers de telles adresses, mais qu'il a été défaillant pendant une période. CoinDCX a déclaré avoir crédité chaque utilisateur concerné. Elle a ajouté que les actifs des clients sont conservés dans des portefeuilles froids et que ses adresses actuelles n'ont pas été touchées. Les échanges se poursuivent normalement. Le point à surveiller est de savoir si de nouvelles preuves on-chain permettront d'établir quelle version est la bonne — et comment CoinDCX expliquera qu'une adresse dépréciée ait continué de balayer des dépôts longtemps après l'incident de juillet 2025. Pour les déposants, les déclarations de l'échange elle-même contiennent la leçon pratique : n'envoyez des fonds que vers la dernière adresse affichée par une plateforme, car les dépôts vers des adresses retirées dépendent entièrement du bon fonctionnement de ce processus de nettoyage.