Investigatori blockchain stanno contestando pubblicamente la versione di CoinDCX su un presunto incidente di sicurezza da 16 milioni di dollari, sostenendo che l'exchange crypto indiano abbia travisato l'origine e i tempi di un'attività sospetta di wallet segnalata il 22 ottobre 2026. La disputa riguarda un indirizzo di deposito basato su TRON e se i fondi che lo hanno attraversato dopo un hack divulgato a luglio 2025 siano stati adeguatamente contabilizzati o travasati senza informare gli utenti.

Le accuse sono state riportate anche da Protos.

Le accuse degli investigatori

L'investigatore Darcy, che collabora con il gruppo di ricerca sulla sicurezza Salus, ha segnalato circa 16 milioni di dollari in movimenti sospetti da indirizzi ritenuti collegati all'infrastruttura di custodia di CoinDCX.

Il wallet centrale un indirizzo basato su TRON identificato dalla stringa TQKJQ. L'investigatore on-chain ZachXBT ha affermato che l'indirizzo di deposito è rimasto in uso attivo da parte di un market maker fornitore di liquidità per 10 mesi dopo l'incidente di sicurezza di luglio 2025 pubblicamente divulgato da CoinDCX, che l'exchange ha precedentemente riconosciuto. Ha anche dichiarato che l'indirizzo ha ricevuto gas e travasato depositi degli utenti verso l'attuale hot wallet pubblico di CoinDCX fino ad aprile e maggio 2026.

La terminologia è importante per chi segue la disputa: gli indirizzi di deposito raccolgono i fondi in entrata dei clienti, gli hot wallet contengono i saldi che un exchange utilizza per i prelievi quotidiani, e il gas è la commissione che una blockchain addebita per elaborare i trasferimenti. Uno sweep consolida i fondi da un indirizzo a un altro, mentre un fornitore di liquidità è una società esterna che fornisce profondità di trading ai mercati di un exchange.

ZachXBT ha pubblicato il seguente messaggio su X, rivolgendosi direttamente a CoinDCX:

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your team. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

Il post è disponibile tramite X e questo link diretto a X.

ZachXBT ha qualificato 15,8 milioni di dollari in depositi degli utenti come non contabilizzati dal team di CoinDCX. Tale cifra rappresenta la sua interpretazione on-chain dell'attività del wallet TQKJQ. Non è stata verificata in modo indipendente né confermata tramite una revisione forense di terze parti.

Cosa resta non verificato

L'accusa centrale — ovvero che i movimenti di ottobre 2026 rappresentino un hack nuovo o in corso anziché un'attività collegata a wallet precedentemente compromessi — rimane contestata e non confermata. Le prove disponibili non includevano un set di transazioni da block explorer verificato in modo indipendente che dimostrasse l'attribuzione di proprietà dei wallet coinvolti. I registri pubbliciano i trasferimenti tra indirizzi ma non identificano chi controlla un wallet; l'attribuzione dipende dalla conferma dell'exchange, delle sue controparti o di un revisore forense.

CoinDCX non ha pubblicato un post mortem forense né un deposito regolamentare riguardante specificamente i movimenti di ottobre 2026. Le prove disponibili non stabiliscono quindi che sia avvenuto un nuovo hack né che CoinDCX abbia fuviato deliberatamente gli utenti.

La risposta di CoinDCX

CoinDCX ha descritto pubblicamente le accuse sugli indirizzi e sulle transazioni come fuviating, ovvero fuorvianti. L'exchange ha dichiarato che l'attività segnalata coinvolgeva indirizzi creati all'inizio del 2025, compromessi durante l'incidente di sicurezza di luglio 2025 e successivamente dismessi. Ha inoltre affermato che agli utenti era stato consigliato di non depositare verso gli indirizzi wallet compromessi.

In una dichiarazione successiva, CoinDCX ha affermato che l'attività del wallet TQKJQ era collegata a quegli indirizzi di inizio 2025. L'exchange ha sostenuto che i movimenti on-chain identificati dagli investigatori erano attribuibili all'incidente già divulgato in precedenza, non a una nuova violazione.

Le dichiarazioni di CoinDCX sono disponibili tramite il suo account X e il post successivo. L'exchange non ha fornito una riconciliazione delle transazioni in ordine cronologico né identificato pubblicamente il fornitore di liquidità citato da ZachXBT.

Il disaccordo riguarda principalmente i tempi e i flussi di fondi. La versione di CoinDCX colloca la compromissione rilevante a luglio 2025 e considera gli indirizzi interessati come dismessi dopo l'incidente. L'interpretazione on-chain di ZachXBT colloca movimenti di fondi, trasferimenti di gas e interazioni con l'hot wallet fino a maggio 2026. Se tale interpretazione fosse corretta, le divulgazioni pubbliche dell'exchange non coprirebbero l'intero ciclo operativo del wallet.

Nessuna delle parti ha risolto tale specifica controversia fattuale con documentazione pubblica verificabile.

L'approvazione recente del CCI (l'autorità per la concorrenza indiana) all'acquisizione da parte di Coinbase di una quota in CoinDCX conferisce all'incidente ulteriore rilevanza, poiché i partner istituzionali esamineranno attentamente l'assetto di sicurezza e gli standard di divulgazione di CoinDCX nell'ambito della due diligence in corso. Ulteriori dettagli sull'approvazione sono disponibili nella copertura dell'approvazione della quota di Coinbase in CoinDCX.

Domande per gli utenti di CoinDCX

Per gli utenti che hanno detenuto USDT o altri asset su CoinDCX nel 2025 e 2026, la disputa solleva questioni di custodia e contabilità che l'exchange non ha affrontato a livello di transazione. USDT è una stablecoin ancorata al dollaro emessa su diverse blockchain pubbliche, tra cui TRON. L'avviso "non depositare" di CoinDCX indica che l'exchange sapeva che specifici indirizzi wallet erano stati compromessi. Tuttavia, i documenti pubblici non mostrano se gli utenti che detenevano fondi su quegli indirizzi siano stati notificati singolarmente o risarciti.

Le divulgazioni di incidenti di sicurezza generalmente identificano gli indirizzi wallet interessati, forniscono una stima approssimativa dell'esposizione di fondi e descrivono una cronologia della violazione e della risposta. Se l'indirizzo TQKJQ ha continuato a instradare depositi degli utenti verso l'hot wallet di CoinDCX ad aprile e maggio 2026, come suggerisce'analisi di ZachXBT, gli utenti che hanno depositato in quel periodo potrebbero aver inviato fondi a un wallet che l'exchange classificava internamente come compromesso.

Le comunicazioni pubbliche di CoinDCX non indicano se i controlli interni di instradamento abbiano protetto quegli utenti o se abbiano affrontato rischi aggiuntivi.

Il contesto di mercato più ampio aggiunge pressione alla questione della trasparenza. Il Fear and Greed Index è stato riportato a 68, nel territorio dell'"avidità", indicando che gli utenti degli exchange erano più tolleranti al rischio che più prudenti nel periodo descritto. In tale ambiente, i fallimenti di divulgazione degli exchange centralizzati possono creare conseguenze reputazionali significative quando diventano pubblici, poiché gli utenti potrebbero essere meno cauti quando l'informazione li raggiunge. L'indice è pubblicato da Alternative.me.

Prove necessarie per risolvere la disputa

Il registro on-chain pertinente è pubblicamente accessibile sulla ledger di TRON. Una risoluzione completa richiederebbe diverse informazioni che né gli investigatori né l'exchange hanno pubblicato integralmente.

Tra queste, una voce verificabile su un explorer TRON per lo specifico indirizzo TQKJQ che mostri la sua completa cronologia delle transazioni, i timestamp, gli indirizzi delle controparti e gli importi in USDT. Gli investigatori dovrebbero inoltre accertare l'identità e la relazione contrattuale del fornitore di liquidità citato da ZachXBT. Infine, CoinDCX dovrebbe confermare o confutare specificamente i trasferimenti verso il suo hot wallet di aprile e maggio 2026 descritti nel post di ZachXBT.

La domanda più importante senza risposta è se l'attuale hot wallet di CoinDCX abbia ricevuto fondi da TQKJQ dopo luglio 2025. Se i trasferimenti fossero confermati on-chain, l'affermazione di CoinDCX secondo cui gli indirizzi furono dismessi dopo l'incidente di luglio 2025 risulterebbe fattualmente incompleta.

Altra questione irrisolta è se le autorità finanziarie indiane abbiano ricevuto una segnalazione di incidente riguardante la violazione di luglio 2025 o i movimenti di ottobre 2026. Nessun deposito regolamentare o azione di vigilanza è stato identificato nelle prove disponibili.

Anche il modo in cui gli exchange centralizzati gestiscono la custodia degli hot wallet e le divulgazioni degli incidenti di sicurezza è rilevante per la disputa. I confronti tra aggregatori di finanza centralizzata e protocolli di exchange decentralizzati possono fornire contesto sui diversi modelli di custodia; una copertura di tale argomento è disponibile in questo confronto.

Le prove disponibili non stabiliscono che CoinDCX abbia mentito né che sia avvenuto un nuovo hack. Stabiliscono però una discrepanza irrisolta tra la cronologia di dismissione dei wallet dichiarata da CoinDCX e l'attività on-chain riportata da ZachXBT ad aprile e maggio 2026.

Fino a quando CoinDCX non fornisca una riconciliazione a livello di transazione o un revisore di terze parti non pubblichi un rapporto forense, utenti controparti non dispongono di un quadro pubblico completo delle questioni di custodia e divulgazione relative ai wallet.