Transazioni sospette da un wallet da tempo collegato all'exchange di criptovalute indiano CoinCDX hanno innescato una nuova indagine per furto, dopo che dati on-chain hanno mostrato oltre 15 milioni di dollari in stablecoin in uscita da un indirizzo esposto nella violazione di luglio 2025 dell'exchange.

I deflussi sono stati rilevati nella tarda serata del 21 ottobre, per un totale di 15,99 milioni di dollari in USDT e 5.783,81 TRX. I fondi sono stati instradati a un indirizzo intermediario, successivamente svuotato, con una parte degli USDT che ha raggiunto i hot wallet di Binance oltre a OKX e Gate.

CoinCDX nega che il wallet sia attualmente sotto il suo controllo, sostenendo che l'indirizzo sia stato segnalato erroneamente su Arkham Intelligence.

"Gli indirizzi etichettati da Arkham appartenevano a CoinDCX prima dell'hack dell'anno, cioè luglio 2025. Questi indirizzi sono stati generati a gennaio 2025 e sono stati compromessi nel precedente hack di luglio 2025. Gli hacker sembrano riutilizzare i vecchi indirizzi wallet e sembra un falso allarme", ha spiegato su X il co-fondatore dell'exchange Sumit Gupta.

Il wallet di CoinCDX era ancora utilizzato nei protocolli DeFi

Sebbene CoinCDX dichiari di non aver utilizzato né controllato il wallet, le evidenze on-chain mostrano che l'indirizzo è rimasto attivo a lungo dopo l'exploit del 2025. Il ricercatore on-chain ZachXBT ha osservato che il wallet è ancora stato utilizzato come fornitore di liquidità, raccogliendo al contempo i depositi degli utenti. Ha inoltre segnalato che CoinCDX deve ancora rendere conto di circa 15,8 milioni di dollari in fondi degli utenti in una proof of reserves trasparente, ossia la divulgazione attraverso cui gli exchange permettono agli utenti di verificare che le attività coprano le passività verso i clienti.

Più che rappresentare un altro furto di wallet, il recente movimento di fondi potrebbe invece mostrare che gli utenti di CoinCDX hanno continuato a depositare sul wallet per almeno 10 mesi dopo l'hack del 2025. ZachXBT ha anche scoperto che gli attuali hot wallet dell'exchange inviavano gas all'indirizzo compromesso fino ad aprile 2026.

L'episodio si aggiunge a un bilancio già trouble. Come aveva precedentemente riferito Cryptopolitan, CoinCDX è stato segnalato come exchange utilizzato per il riciclaggio di frodi e nel 2025 ha subito un hack che ha portato via fino a 44 milioni di dollari.

CoinCDX è un exchange relativamente piccolo, con un volume giornaliero di 1,15 milioni di dollari nelle ultime 24 ore secondo CoinGecko. La coppia più attiva è tra valuta fiat e USDT, con un numero limitato di asset offerti. La piattaforma è già considerata intrinsecamente rischiosa, ma i ultimi riscontri hanno approfondito i dubbi sul fatto che l'operatore di mercato possa non aver protetto i fondi degli utenti, consentendo ai depositi di ricaricare un wallet già compromesso.

I fondi di CoinCDX possono essere recuperati?

In una mossa insolita, i fondi prelevati da CoinCDX sono stati trasferiti su exchange centralizzati. La maggior parte dell'importo era in USDT, il che significa che Tether o gli exchange potrebbero congelare e annullare la perdita, ma ciò dipende dalla conferma da parte di CoinCDX che si sia verificato un exploit. Tether ha conato USDT in precedenti casi di furto, quindi se l'emittente e le piattaforme riceventi interverranno per bloccare i fondi segnalati è uno degli sviluppi principali da seguire mentre l'indagine procede.

I movimenti di fondi dal wallet dell'exploiter hanno inoltre ripetuto lo schema del precedente hack di CoinCDX, in cui i fondi rubati erano stati riciclati attraverso mercati centralizzati.

Attualmente CoinCDX è sospettato di pratiche di sicurezza difettose e di aver effettivamente riutilizzato i propri wallet compromessi, senza fornire prove sufficienti della sicurezza dei fondi degli utenti. L'exchange ha nuovamente pubblicato una dichiarazione in cui afferma di non aver interagito con quei wallet, in contrasto con le evidenze on-chain.

L'esposizione di CoinCDX è un evento relativamente raro, poiché la maggior parte degli hack prende di mira i protocolli decentralizzati. Il sospetto exploit arriva in un momento in cui gli utenti di criptovalute sono sempre più diffidenti verso hack ed esposizioni accidentali, incluse le chiavi private compromesse attraverso la violazione di Railway e i potenziali effetti delle vulnerabilità PHP appena scoperte.

L'incidente di CoinCDX non è ancora del tutto chiaro. Ma se l'exchange ha deviato i fondi degli utenti verso un indirizzo compromesso, ciò minerebbe ulteriormente la fiducia nel depositare criptovalute sui wallet degli exchange.

La ricerca on-chain ha trovato ulteriori collegamenti tra i wallet dell'hacker e gli indirizzi utilizzati da CoinCDX, come segnalato da @DarcyAri, l'account che ha notato per primo i trasferimenti sospetti.