CoinDCX, exchange indiano, ha dichiarato di aver assorbito una perdita di 15,99 milioni di dollari dopo che un processo interno fallito ha consentito l'accumulo dei depositi dei clienti in un wallet di criptovalute ritirato, collegato all'attacco informatico da 44 milioni di dollari subito dall'exchange a luglio 2025.

Secondo l'exchange, alcuni utenti hanno continuato a inviare fondi ai vecchi indirizzi di deposito nonostante le istruzioni di utilizzare i wallet aggiornati. Un servizio automatico preposto al trasferimento dei depositi dispersi nei wallet principali di CoinDCX ha smesso di funzionare per un periodo non specificato, causando la perdita. Servizi di sweeping come quello guasto sono operazioni di routine e invisibili nella gestione della tesoreria di un exchange, e l'episodio dimostra come un singolo guasto silenzioso in quel livello possa trasformare depositi residui in un colpo diretto al bilancio di un operatore.

La società ha sottolineato che l'infrastrutturaiva non è stata toccata, affermando che i wallet attivi, i sistemi di trading e i saldi dei clienti non sono stati interessati e che i fondi degli utenti sono rimasti protetti in cold wallet segregati. La distinzione è importante: la perdita è ricaduta sui bilanci dell'exchange stesso e non sui singoli conti dei clienti.

La comunicazione è seguita alle precedenti smentite riguardo ai deflussi sospetti segnalati dagli investigatori blockchain. L'investigatore on-chain ZachXBT, tra i primi a segnalare l'attacco di luglio 2025, ha pubblicamente messo in dubbio la versione dell'exchange sulle attività riguardanti gli indirizzi ritirati. L'amministratore delegato di CoinDCX, Sumit Gupta, aveva inizialmente definito le segnalazioni un falso allarme.

CoinDCX, fondata nel 2018 da Sumit Gupta e Neeraj Khandelwal, è tra i maggiori exchange di criptovalute in India. A luglio 2025, circa 44 milioni di dollari furono sottratti da uno dei suoi conti interni utilizzati per la fornitura di liquidità. All'epoca, la società dichiarò che i wallet dei clienti non erano stati interessati e che avrebbe assunto la perdita con la propria tesoreria. Considerati insieme, l'attacco e il fallimento del servizio di sweeping dei depositi comportano che l'exchange ha ormai assorbito perdite per quasi 60 milioni di dollari nei due episodi.

L'incidente evidenzia i rischi operativi e di sicurezza legati alla gestione delle infrastrutture wallet legacy, anche dopo il ritiro degli indirizzi a seguito di un attacco. Dismettere gli indirizzi esposti è solo una parte del lavoro dopo un exploit importante; i fondi che continuano ad arrivare sugli endpoint ritirati devono comunque essere intercettati e bonificati, e la stessa comunicazione di CoinDCX mostra il costo della mancata esecuzione di questo passaggio. L'exchange ha dichiarato che rafforzerà il monitoraggio e i controlli sui propri sistemi dismessi — finora il suo principale intervento concreto, considerando che non ha dettagliato per quanto tempo il servizio di sweeping è rimasto fermo.