CoinDCX, il più grande exchange di criptovalute dell'India, ha negato che i suoi wallet attivi siano stati compromessi, dopo che investigatori blockchain hanno segnalato circa 16 milioni di dollari in outflow sospetti da indirizzi collegati alla piattaforma.

L'exchange ha dichiarato che le transazioni segnalate riguardavano vecchi indirizzi di wallet compromessi in un hack di luglio 2025 e non più utilizzati da allora. Tuttavia, almeno un investigatore on-chain ha replicato che uno di quegli indirizzi ha continuato a ricevere depositi e a interagire con l'attuale wallet di CoinDCX fino al 2026. È proprio questo contrasto a rendere l'episodio più di un semplice falso allarme: tutto dipende dal fatto che gli indirizzi che l'exchange definisce dismessi fossero ancora collegati al flusso di depositi attivo — la differenza tra hacker che riutilizzano indirizzi morti e un'incapacità operativa dal lato della piattaforma.

CoinDCX ha riconosciuto che un guasto temporaneo nel suo processo di sweeping dei depositi dagli indirizzi dismessi ha causato perdite operative, che ha assorbito dopo aver accreditato gli utenti coinvolti.

"Le transazioni menzionate nelle affermazioni recenti riguardano vecchi indirizzi di wallet creati a gennaio 2025. Questi indirizzi sono stati compromessi a luglio 2025 e non sono più stati utilizzati da CoinDCX da allora. L'attività ora riportata si riferisce a questi vecchi indirizzi e non ha alcun collegamento con CoinDCX", ha dichiarato il portavoce dell'exchange a CoinDesk. "Gli attuali indirizzi centrali e degli utenti di CoinDCX non sono stati interessati, e nessun fondo CoinDCX proveniente da wallet attivi è stato compromesso."

Come sono nati i sospetti

Le preoccupazioni sono emerse mercoledì, quando un utente di X di nome Darcy ha segnalato un grande outflow dall'hot wallet di CoinDCX e da diversi dei suoi indirizzi di deposito. I trasferimenti ammontavano a circa 16 milioni di dollari in USDT, una stablecoin ancorata al dollaro, e nel token TRX di Tron.

Ogni utente di CoinDCX riceve un indirizzo di deposito personale, una stringa unica di caratteri utilizzata per inviare criptovalute all'exchange. La piattaforma esegue regolarmente lo "sweeping" di questi depositi, ovvero li sposta nei propri wallet principali in modo che tutto risieda in un unico posto sotto il suo controllo. Una parte di questi fondi va a un hot wallet, un wallet connesso a internet utilizzato per i prelievi quotidiani, mentre il resto viene spostato in cold wallet, che sono tenuti offline. Lo sweeping è una pratica standard negli exchange centralizzati, ed è per questo che le anomalie in quel flusso tendono a essere interpretate come potenziali eventi di sicurezza piuttosto che come routine di manutenzione.

Secondo Darcy, tutti i fondi segnalati sono stati inviati a un unico indirizzo Tron, con la singola transazione più grande pari a 15.819.002 USDT. Quell'indirizzo ha poi diviso i fondi diversi wallet. Il post ha segnalato l'outflow come un possibile furto, alimentando timori di un nuovo hack ai danni dell'exchange.

CoinDCX era già stato colpito in passato, a luglio 2025, perdendo circa 44 milioni di dollari in quell'incidente.

L'CEO lo definisce un falso allarme; l'investigatore replica

L'CEO di CoinDCX Sumit Gupta ha contestato la ricostruzione su X, affermando che gli hacker di luglio 2025 sembrano riutilizzare i vecchi indirizzi di wallet e definendo l'episodio un falso allarme. In altre parole, la posizione dell'exchange è che ha abbandonato quegli indirizzi dopo l'hack e che sono gli hacker a continuarli a usare.

ZachXBT, un noto investigatore on-chain, ha contestato quell'affermazione, sostenendo che almeno uno di quegli indirizzi, etichettato TQKJQ, era ancora in uso.

"L'indirizzo di deposito TQKJQ di CoinDCX è stato utilizzato da un LP per 10 mesi dopo l'incidente di luglio 2025 e ha effettuato lo sweeping dei depositi degli utenti + ricevuto gas fino ad aprile e maggio 2026 verso il vostro attuale hot wallet pubblico", ha dichiarato.

In termini semplici, ZachXBT ha detto che l'indirizzo ha continuato a raccogliere depositi dei clienti e a trasferirli nell'attuale wallet di CoinDCX fino a questa primavera. Un LP, o liquidity provider, è una società che fornisce ordini di acquisto e vendita a un exchange, mentre il gas è la piccola commissione pagata per spostare token su una blockchain. Se confermata, questa ricostruzione offusca la netta distinzione che l'exchange traccia tra infrastruttura dismessa e attiva — il fulcro del disaccordo.

L'exchange riconosce un problema nella pulizia degli indirizzi

Interrogato sulla possibilità che il vecchio indirizzo fosse stato lasciato abbandonato pur continuando a gestire fondi, CoinDCX ha dichiarato di aver avvisato gli utenti dopo l'hack di luglio 2025 di non depositare fondi su indirizzi compromessi. L'exchange ora definisce questi indirizzi "dismessi" o ritirati.

"Nonostante le nostre notifiche passate, alcuni utenti hanno continuato a depositare fondi su indirizzi di deposito dismessi invece che sugli aggiornati", ha detto il portavoce.

L'exchange ha spiegato che il processo di sweeping è pensato proprio per intercettare i depositi inviati a tali indirizzi, ma che ha funzionato male per un periodo. CoinDCX ha detto di aver accreditato ogni utente interessato. Ha aggiunto che gli asset dei clienti sono custoditi in cold wallet e che i suoi indirizzi attuali non sono stati colpiti. Il trading prosegue regolarmente. Il filo da seguire è se ulteriori documentazioni on-chain chiariranno quale versione è corretta — e come CoinDCX spiegherà perché un indirizzo dismesso ha continuato a effettuare lo sweeping dei depositi molto dopo l'incidente di luglio 2025. Per i depositanti, le stesse dichiarazioni dell'exchange contengono la lezione pratica: inviare fondi solo all'indirizzo più recente mostrato dalla piattaforma, perché i depositi su quelli dismessi dipendono interamente dal corretto funzionamento di quel processo di pulizia.