La plateforme d'échange de cryptomonnaies indienne CoinDCX a reconnu des défaillances dans son système de traitement des dépôts après le transfert de près de 16 millions de dollars en USDT depuis des portefeuilles liés à la plateforme, revenant sur une explication antérieure selon laquelle l'activité suspecte ne concernait que des adresses abandonnées.

L'admission du 22 octobre faisait suite aux accusations de l'enquêteur blockchain ZachXBT, qui a contesté la affirmation de l'échange selon laquelle les portefeuilles signalés étaient inactifs depuis une faille de sécurité de 44 millions de dollars en juillet 2025. CoinDCX reconnaît désormais que des dépôts ont continué d'arriver sur ces adresses et que son processus de collecte des fonds avait échoué pendant une période.

L'entreprise maintient que les clients concernés ont été crédités, que les pertes opérationnelles ont été absorbées en interne et que les actifs détenus dans son infrastructure de garde active restent sécurisés.

Près de 16 millions de dollars en USDT déplacés via des portefeuilles TRON

Les transferts suspects ont commencé le 21 octobre, lorsque environ 15,99 millions d'USDT et 5 784 TRX ont été déplacés depuis des adresses associées à CoinDCX vers un portefeuille TRON nouvellement créé.

Le chercheur en sécurité blockchain Darcy a le premier signalé les transactions, identifiant des transferts depuis plusieurs adresses de dépôt et portefeuilles précédemment attribués à l'échange. La plus grande transaction individuelle portait sur 15,82 millions d'USDT quittant une seule adresse de dépôt. Le portefeuille de réception a ensuite distribué les fonds vers plusieurs adresses, des montants importants atteignant finalement des comptes associés à Binance, OKX et Gate.

Une reconstruction détaillée des transactions par firme d'analyse blockchain Bitquery a identifié environ 40 portefeuilles concernés, y compris des adresses ayant continué de traiter des dépôts après l'incident de juillet 2025. Au 22 octobre, environ 9,63 millions de dollars étaient parvenus à des adresses de dépôt d'échanges identifiées, tandis que 2,28 millions de dollars supplémentaires demeuraient dans sept portefeuilles en aval au moment de l'analyse de Bitquery.

ZachXBT conteste le déni initial de CoinDCX

CoinDCX avait d'abord rejeté les allégations, expliquant que les adresses signalées avaient été créées en janvier 2025, compromises lors de son précédent incident de sécurité puis mises hors service. Le cofondateur et PDG Sumit Gupta a soutenu séparément qu'aucun portefeuille actif de l'entreprise ou des clients n'avait transféré de fonds vers les adresses concernées.

ZachXBT a contesté cette version, identifiant une adresse de dépôt commençant par TQKJQ qui est restée connectée à l'infrastructure opérationnelle de l'échange pendant des mois après la précédente faille. L'adresse a continué de recevoir des TRX pour les frais de transaction et de transférer des dépôts vers des hot wallets liés à CoinDCX jusqu'en avril et mai 2026. Bitquery a identifié 88 dépôts totalisant environ 15,82 millions de dollars qui s'étaient accumulés sur l'adresse entre janvier et mars avant d'être transférés lors de l'incident d'octobre.

L'explication révisée de l'échange a reconnu que des utilisateurs avaient continué à déposer des cryptomonnaies sur des adresses dépréciées malgré les instructions de cesser de les utiliser. CoinDCX disposait d'un processus automatisé pour collecter ces dépôts, mais a admis que la collecte automatique (sweeping) avait échoué pendant une période, entraînant des pertes opérationnelles.

Les mécanismes à l'origine de ce déficit constituent un risque opérationnel bien connu des plateformes centralisées : les adresses de dépôt retirées sur le papier continuent souvent de recevoir des fonds d'utilisateurs, et les plateformes exécutent généralement des collectes automatisées pour récupérer les dépôts égarés et créditer les soldes des clients. Lorsque ce processus échoue, un échange peut se retrouver devoir des soldes aux utilisateurs sur des actifs qu'il n'a jamais réellement collectés — l'écart que CoinDCX dit avoir absorbé en interne plutôt que de le répercuter sur les utilisateurs.

ZachXBT a ensuite accusé l'échange de manquer de transparencehttps://x.com/zachxbt/status/2113264816546873716), critiquant son rejet initial des preuves de transactions avant que les défaillances de traitement ne soient reconnues. Cet épisode illustre également le rôle de redevabilité que jouent désormais les données publiques de la blockchain : le déni initial de CoinDCX a tenu jusqu'à ce que les preuves on-chain sous-jacentes — des adresses de dépôt toujours liées à son infrastructure des mois après la faille — soient documentées et publiées par des enquêteurs indépendants et des firmes d'analyse.

CoinDCX affirme que les clients ont été crédités et que les fonds restent en sécurité

Selon sa position révisée, tous les dépôts des clients envoyés vers des adressespréciées ont été crédités sur les comptes utilisateurs, même lorsque les actifs correspondants n'avaient pas été effectivement collectés. L'entreprise maintient que ses portefeuilles opérationnels actuels n'ont pas été compromis et que les actifs des clients restent protégés dans un stockage à froid ségrégué. Le trading et les autres services de l'échange continuent de fonctionner normalement. Pour les utilisateurs, cet épisode souligne également que les dépôts envoyés vers des adresses dépréciées dépendent des processus internes d'un échange, tant pour le crédit que pour la récupération.

L'échange avait précédemment absorbé environ 44 millions de dollars de pertes à la suite de sa [faille de sécurité de juillet 2025, lorsque des attaquants avaient compromis un compte opérationnel interne utilisé pour la provision de liquidité. CoinDCX avait également été confrontée à des questions antérieures concernant ses dispositions de garde, rejetant des allégations impliquant le transfert d'actifs de clients indiens vers une entité basée à l'étranger.

Le différend survient alors que les plateformes d'échange de cryptomonnaies centralisées en Inde font l'objet d'une surveillance continue, la restructuration de WazirX ayant suivi une autre faille de sécurité de 230 millions de dollars qui a laissé les clients dans l'attente de remboursements. ZachXBT a également critiqué KuCoin pour sa gestion des signalements de cryptomonnaies volées, notamment des allégations selon lesquelles les comptes de dépôt n'avaient pas été gelés assez rapidement.

CoinDCX n'a pas publiquement fourni de rapprochement complet des soldes de dépôt concernés, de la valeur finale de ses pertes opérationnelles ou de l'état des éventuels efforts de récupération concernant l'USDT transféré. Ses assurances de crédit aux clients n'ont pas été indépendamment rapprochées des registres comptables internes de l'échange. Ces points en suspens — un rapprochement complet, un chiffre de pertes définitif et d'éventuelles mises à jour sur la récupération — sont les divulgations clés à surveiller à mesure que la situation évolue.