De grootste cryptobeurs van India, CoinDCX, heeft ontkend dat zijn actieve wallets zijn gecompromitteerd, nadat blockchainonderzoekers ongeveer 16 miljoen dollar aan verdachte uitstroom hadden gesignaleerd vanaf adressen die aan het platform zijn gelinkt.

De beurs zei dat de gesignaleerde transacties betrekking hadden op oude walletadressen die waren gecompromitteerd tijdens de hack van juli 2025 en sindsdien niet meer zijn gebruikt. Ten minste één on-chain onderzoeker betwistte dit echter en stelde dat een van die adressen tot in 2026 stortingen bleef ontvangen en bleef communiceren met de huidige wallet van CoinDCX. Juist dat meningsverschil maakt dit incident meer dan een routinematig vals alarm: alles hangt af van de vraag of adressen die de beurs als buiten gebruik gesteld bestempelt, nog steeds waren verbonden met het live stortingsproces — het verschil tussen hackers die dode adressen hergebruiken en een operationele fout aan de kant van het platform.

CoinDCX gaf toe dat een tijdelijke storing in het proces voor het opschrapen van stortingen vanaf buiten gebruik gestelde adressen operationele verliezen heeft veroorzaakt, die het heeft gedragen na het crediteren van getroffen gebruikers.

"De transacties die in recente beweringen worden genoemd, betreffen oude walletadressen die in januari 2025 zijn aangemaakt. Deze adressen zijn in juli 2025 gecompromitteerd en worden sindsdien niet meer door CoinDCX gebruikt. De activiteit die nu wordt gerapporteerd, heeft betrekking op deze oude adressen en heeft geen enkele connectie met CoinDCX", aldus een woordvoerder van de beurs tegen CoinDesk. "De huidige centrale en gebruikersadressen van CoinDCX zijn niet getroffen en er zijn geen CoinDCX-middelen uit actieve wallets gecompromitteerd."

Hoe de vermoedens ontstonden

De zorgen ontstonden op woensdag, toen een X-gebruiker genaamd Darcy een grote uitstoor signaleerde vanuit de hot wallet van CoinDCX en verschillende stortingsadressen. De transacties waren in totaal ongeveer 16 miljoen dollar waard in USDT, een aan de dollar gekoppelde stablecoin, en de TRX-token van Tron.

Elke CoinDCX-gebruiker ontvangt een persoonlijk stortingsadres, een unieke tekenreeks waarnaar crypto kan worden verzonden. Het platform "schopt" deze stortingen regelmatig op, wat betent dat ze worden verplaatst naar de eigen hoofdwallets, zodat alles op één plaats ligt die het platform beheert. Een deel van dat geld gaat naar een hot wallet, een met internet verbonden wallet voor dagelijkse opnames, terwijl de rest wordt verplaatst naar cold wallets, die offline worden bewaard. Opschrapen is standaardpraktijk bij gecentraliseerde beurzen, en daarom worden afwijkingen in die stroom doorgaans gezien als mogelijke beveiligingsincidenten in plaats van routinehuishoudelijk werk.

Volgens Darcy werden alle gesignaleerde fondsen naar één enkel Tron-adres gestuurd, waarbij de grootste afzonderlijke transactie 15.819.002 USDT bedroeg. Dat adres splitste het geld vervolgens over meerdere wallets. De post flagde de uitstroom als een vermoedelijke diefstal, wat vrees wekte voor een nieuwe hack bij de beurs.

CoinDCX werd eerder al een keer aangevallen, in juli 2025, en verloor toen ongeveer 44 miljoen dollar in dat incident.

CEO noemt het een vals alarm; onderzoeker betwist dit

CoinDCX CEO Sumit Gupta reageerde op X en zei dat de hackers van juli 2025 de oude walletadressen schijnbaar hergebruiken, en noemde het incident een vals alarm. Met andere woorden: de beurs zegt dat het platform die adressen na de hack heeft verlaten en dat de hackers er nog steeds gebruik van maken.

ZachXBT, een bekend on-chain onderzoeker, betwistte die bewering en zei dat ten minste een van die adressen, gelabeld TQKJQ, nog steeds in gebruik was.

"CoinDCX stortingsadres TQKJQ werd 10 maanden na uw incident van juli 2025 gebruikt door een LP en schopte gebruikersstortingen op en ontving gas nog in april en mei 2026 naar uw huidige openbare hot wallet", aldus ZachXBT.

In gewone taal betekent dit dat het adres volgens ZachXBT tot deze lente klantstortingen bleef verzamelen en doorstuurde naar de huidige wallet van CoinDCX. Een LP, of liquiditeitsverschaffer, is een bedrijf dat koop- en verkooporders aanlevert bij een beurs, terwijl gas de kleine vergoeding is die wordt betaald om tokens op een blockchain te verplaatsen. Als dit klopt, vervaagt dat beeld de scherpe lijn die de beurs trekt tussen buiten gebruik gestelde en actieve infrastructuur — de kern van het geschil.

Beurs erkent falen in opschoonprocedure

Naar aanleiding van de vraag of het oude adres was achtergelaten terwijl het nog steeds met geld omging, zei CoinDCX dat het gebruikers na de hack van juli 2025 had gewaarschuwd geen geld te storten naar gecompromitteerde adressen. De beurs noemt deze adressen nu "deprecated", oftewel buiten gebruik gesteld.

"Ondanks onze eerdere meldingen bleven sommige gebruikers geld storten naar buiten gebruik gestelde stortingsadressen in plaats van naar de nieuwste", aldus de woordvoerder.

De beurs zei dat het opschraproces bedoeld is om dergelijke stortingen op te vangen, maar dat het een tijdlang faalde. CoinDCX zei dat het elke getroffen gebruiker heeft gecrediteerd. Het voegde eraan toe dat klantactiva in cold wallets liggen en dat de huidige adressen niet zijn getroffen. De handel loopt gewoon door. De vraag om in de gaten te houden is of verdere on-chain documentatie uitmaakt welke lezing klopt — en hoe CoinDCX uitlegt waarom een buiten gebruik gesteld adres nog lang na het incident van juli 2025 stortingen bleef opschrapen. Voor storters bevat de eigen verklaring van de beurs de praktische les: stuur geld alleen naar het nieuwste adres dat een platform toont, want stortingen naar buiten gebruik gestelde adressen hangen volledig af van het goed functioneren van die opschoonprocedure.