L'exchange di criptovalute indiano CoinDCX ha riconosciuto malfunzionamenti nel proprio sistema di elaborazione dei depositi dopo il trasferimento di quasi 16 milioni di dollari in USDT da wallet collegati alla piattaforma, revocando una precedente spiegazione secondo cui l'attività sospetta riguardava solo indirizzi abbandonati.

L'ammissione del 22 ottobre è seguita alle accuse dell'investigatore blockchain ZachXBT, che aveva contestato la dichiarazione dell'exchange secondo cui i wallet segnalati erano inattivi da una violazione della sicurezza di 44 milioni di dollari avvenuta a luglio 2025. CoinDCX ora riconosce che i depositi hanno continuato ad arrivare su quegli indirizzi e che il suo processo di raccolta dei fondi è rimasto inattivo per un periodo.

La società sostiene che i clienti interessati sono stati accreditati, che le perdite operative sono state assorbite internamente e che gli asset custoditi nella sua infrastruttura di custodia attiva restano al sicuro.

Quasi 16 milioni di dollari in USDT spostati tramite wallet TRON

I trasferimenti sospetti sono iniziati il 21 ottobre, quando circa 15,99 milioni di USDT e 5.784 TRX si sono spostati da indirizzi associati a CoinDCX verso un wallet TRON appena creato.

Il ricercatore di sicurezza blockchain Darcy ha segnalato per primo le transazioni, identificando trasferimenti da più indirizzi di deposito e wallet precedentemente attribuiti all'exchange. La singola transazione più grande ha coinvolto 15,82 milioni di USDT in uscita da un unico indirizzo di deposito. Il wallet di ricezione ha successivamente distribuito i fondi su diversi indirizzi, con cifre rilevanti che alla fine hanno raggiunto conti associati a Binance, OKX e Gate.

Una ricerca transazionale dettagliata della società di analisi blockchain Bitquery ha identificato circa 40 wallet interessati, inclusi indirizzi che hanno continuato a elaborare depositi dopo l'incidente di luglio 2025. Al 22 ottobre, circa 9,63 milioni di dollari erano arrivati su indirizzi di deposito dell'exchange identificati, mentre altri 2,28 milioni dollari si trovavano ancora in sette wallet a valle al momento dell'analisi di Bitquery.

ZachXBT contesta la negazione iniziale di CoinDCX

CoinDCX ha inizialmente respinto le accuse, spiegando che gli indirizzi segnalati erano stati creati a gennaio 2025, compromessi durante il precedente incidente di sicurezza e dismessi. Il cofondatore e CEO Sumit Gupta ha sostenuto separatamente che nessun wallet attivo dell'azienda o dei clienti aveva trasferito fondi verso gli indirizzi interessati.

ZachXBT ha contestato quella versione, identificando un indirizzo di deposito che inizia con TQKJQ rimasto collegato all'infrastruttura operativa dell'exchange per mesi dopo la precedente violazione. L'indirizzo ha continuato a ricevere TRX per le commissioni di transazione e a trasferire depositi verso hot wallet collegati a CoinDCX fino ad aprile e maggio 2026. Bitquery ha identificato 88 depositi per un totale di circa 15,82 milioni di dollari accumulati sull'indirizzo tra gennaio e marzo prima di essere trasferiti in occasione dell'incidente di ottobre.

La spiegazione revisionata dell'exchange ha riconosciuto che gli utenti avevano continuato a depositare criptovalute su indirizzi dismessi nonostante le istruzioni di smettere di utilizzarli. CoinDCX aveva mantenuto un processo automatizzato per raccogliere tali depositi, ma ha ammesso che la raccolta automatica è fallita per un periodo, causando perdite operative.

Le dinamiche alla base di questo shortfall rappresentano un noto rischio operativo per gli exchange centralizzati: gli indirizzi di deposito dismessi sulla carta spesso continuano a ricevere fondi degli utenti, e le piattaforme in genere eseguono raccolte automatizzate per recuperare i depositi dispersi e accreditare i saldi dei clienti. Quando il processo di raccolta fallisce, un exchange può ritrovarsi a dovere saldi agli utenti su asset che non ha mai effettivamente raccolto — il divario che CoinDCX afferma di aver assorbito internamente invece di scaricare sugli utenti.

ZachXBT ha successivamente accusato l'exchange di mancanza di trasparenza, criticando il suo iniziale rifiuto delle prove transazionali prima che i malfunzionamenti dell'elaborazione venissero riconosciuti. L'episodio illustra inoltre il ruolo di accountability che i dati pubblici della blockchain svolgono oggi: la negazione iniziale di CoinDCX è rimasta in piedi finché le prove on-chain sottostanti — indirizzi di deposito ancora legati alla sua infrastruttura mesi dopo la violazione — non sono state documentate e pubblicate da investigatori indipendenti e società di analisi.

CoinDCX afferma che i clienti sono stati accreditati e che i fondi sono al sicuro

Secondo la posizione revisionata, tutti i depositi dei clienti inviati a indirizzi dismessi sono stati accreditati sui conti degli utenti, anche quando gli asset corrispondenti non erano stati effettivamente recuperati. La società sostiene che i suoi wallet operativi attuali non sono stati compromessi e che gli asset dei clienti restano protetti in cold storage segregato. Il trading e gli altri servizi dell'exchange continuano a funzionare normalmente. Per gli utenti, l'episodio sottolinea che i depositi inviati a indirizzi dismessi dipendono dai processi interni dell'exchange sia per l'accredito sia per il recupero.

L'exchange aveva precedentemente assorbito perdite per circa 44 milioni di dollari in seguito alla violazione della sicurezza di luglio 2025, quando gli aggressori avevano compromesso un conto operativo interno utilizzato per la fornitura di liquidità. CoinDCX aveva anche affrontato in precedenza domande sui propri accordi di custodia, respingendo accuse relative allo spostamento di asset di clienti indiani verso un'entità estera.

La controversia arriva in un contesto di continuo controllo sugli exchange di criptovalute centralizzati in India, dove la ristrutturazione di WazirX è seguita a una separate violazione della sicurezza di 230 milioni di dollari che ha lasciato i clienti in attesa dei rimborsi. ZachXBT aveva anche in precedenza criticato KuCoin per la gestione delle segnalazioni di criptovalute rubate, comprese accuse secondo cui i conti di deposito dell'exchange non erano stati congelati con sufficiente rapidità.

CoinDCX non ha pubblicato una riconciliazione completa dei saldi di deposito interessati, il valore finale delle perdite operative né aggiornamenti sullo stato degli eventuali sforzi di recupero riguardanti gli USDT trasferiti. Le sue garanzie di accredito ai clienti non sono state riconciliate indipendentemente con i registri contabili interni dell'exchange. Questi punti ancora aperti — una riconciliazione completa, una cifra finale delle perdite e aggiornamenti sul recupero — sono le divulgazioni chiave da monitorare mentre la situazione evolve.