Verdachte transacties vanuit een portefeuille die al lang gelinkt wordt aan het Indiase crypto-beurs CoinCDX hebben een nieuw diefteonderzoek op gang gebracht, nadat on-chain data liet zien dat er meer dan 15 miljoen dollar aan stablecoins werd verplaatst vanuit een adres dat in juli 2025 bij een inbreuk van de beurs was blootgesteld.

De uitstromen werden eind 21 oktober opgemerkt en bestonden in totaal uit 15,99 miljoen dollar in USDT en 5.783,81 TRX. Het geld werd naar een tussenliggend adres gestuurd, dat vervolgens werd leeggehaald, waarbij een deel van de USDT terechtkwam in hot wallets van Binance OKX en Gate.

CoinCDX ontkent dat de portefeuille momenteel onder zijn beheer staat en zegt dat het adres ten onrechte was gemarkeerd op Arkham Intelligence.

"De door Arkham gemarkeerde adressen behoorden voorheen toe aan CoinDCX, tot aan de hack van vorig jaar, dus juli 2025. Deze adressen zijn in januari 2025 aangemaakt en zijn gecompromitteerd tijdens de eerdere hack in juli 2025. De hackers lijken de oude walletadressen opnieuw te gebruiken en dit klinkt als een vals alarm," legde medeoprichter van de beurs Sumit Gupta uit op X.

CoinCDX-portefeuille werd nog steeds gebruikt in DeFi-protocollen

Hoewel CoinCDX zegt dat het de portefeuille niet gebruikte of beheerde, laat on-chain bewijs zien dat het adres nog lang actief bleef na de exploit van 2025. On-chain onderzoeker ZachXBT wees erop dat de portefeuille nog steeds als liquiditeitsverschaffer werd gebruikt en tegelijk gebruikersstakingen verzamelde. Hij gaf bovendien aan dat CoinCDX nog steeds rekenschap moet afleggen over circa 15,8 miljoen dollar aan gebruikersmiddelen in een transparant proof of reserves — de openbaarmaking waarmee beurzen gebruikers laten verifiëren dat de bezittingen de aansprakelijkheden jegens klanten dekken.

De recente geldstromen vormen wellicht geen nieuwe portefeuillediefstal, maar tonen mogelijk juist dat CoinCDX-gebruikers nog ten minste 10 maanden na de hack van 2025 bleven storten op de portefeuille. ZachXBT ontdekte tevens dat de huidige hot wallets van de beurs nog tot april 2026 gas stuurden naar het gecompromitteerde adres.

De affaire voegt toe aan een troubled voorgeschiedenis. Zoals Cryptopolitan eerder meldde, is CoinCDX gemarkeerd als een beurs die werd gebruikt voor het witwassen van fraudegeld, en in 2025 werd de beurs ook getroffen door een hack waarbij tot 44 miljoen dollar buit werd gemaakt.

CoinCDX is een relatief kleine beurs, met een dagvolume van 1,15 miljoen dollar over defgelopen 24 uur volgens CoinGecko. Het meest actieve handelspaar is fiat tegen USDT, met een beperkt aantal aangeboden assets. Het platform werd al als intrinsiek risicovol beschouwd, maar de nieuwste bevindingen hebben de twijfels vergroot dat de exploitant er mogelijk niet in is geslaagd gebruikersmiddelen te beschermen, waardoor stortingen een al gecompromitteerde portefeuille konden bijvullen.

Kan het geld van CoinCDX nog gered worden?

Op opvallende wijze werden de gestolen middelen van CoinCDX verplaatst naar gecentraliseerde beurzen. Het grootste deel van het bedrag was in USDT aangehouden, wat betekent dat Tether of de beurzen het verlies kunnen bevriezen en ongedaan maken — maar dat hangt af van een bevestiging door CoinCDX dat er sprake was van een exploit. Tether heeft USDT in eerdere diefstalgevallen bevroren, dus of de uitgever en de ontvangende platforms de gemarkeerde middelen blokkeren, is een van de belangrijkste ontwikkelingen om in de gaten te houden nu het onderzoek vordert.

De geldstromen vanuit de portefeuille van de dader herhaalden ook het patroon van de eerdere CoinCDX-hack, waarbij gestolen middelen via gecentraliseerde markten werden witgewassen.

Op dit moment wordt CoinCDX verdacht van gebrekkige beveiligingspraktijken en van het daadwerkelijk hergebruiken van gecompromitteerde wallets, terwijl er onvoldoende bewijs wordt geleverd dat gebruikersmiddelen veilig zijn. De beurs heeft opnieuw een verklaring uitgegeven waarin zij zegt dat er geen interactie was met die wallets, in strijd met het on-chain bewijs.

De blootstelling van CoinCDX is een relatief zeldzame gebeurtenis, aangezien de meeste hacks gericht zijn op gedecentraliseerde protocollen. De vermoedelijke exploit komt op een moment dat cryptogebruikers alertter worden op hacks en onbedoelde blootstelling, waaronder gecompromitteerde privésleutels via de Railway-inbreuk en de mogelijke gevolgen van nieuw ontdekte PHP-kwetsbaarheden.

Het CoinCDX-incident is nog niet volledig begpen. Maar als de beurs gebruikersmiddelen heeft omgeleid naar een gecompromitteerd adres, zou dat het vertrouwen in het storten van crypto naar beurs-wallets verder ondermijnen.

On-chain onderzoek heeft aanvullende verbanden gevonden tussen de wallets van de hacker en adressen die door CoinCDX werden gebruikt, zoals opgemerkt door @DarcyAri, het account dat de verdachte transacties als eerste opmerkte.