Het Indiase cryptocurrency-beurs CoinDCX heeft fouten toegegeven in zijn systeem voor het verwerken van deposits, nadat bijna $16 miljoen in USDT werd overgeboekt van wallets die aan het platform zijn gekoppeld. Daarmee trekt het beurs een eerdere uitleg in waarin werd gesteld dat de verdachte activiteit alleen verlaten adressen betrof.

De erkenning van 22 oktober volgde op beschuldigingen van blockchain-onderzoeker ZachXBT, die het standpunt van de beurs uitdaagde dat de gemarkeerde wallets inactief waren geweest sinds een security-inbreuk van $44 miljoen in juli 2025. CoinDCX erkent nu dat deposits bleven binnenkomen op die adressen en dat het proces om de fondsen te verzamelen een periode heeft gefaald.

Het bedrijf houdt vol dat getroffen klanten zijn gecrediteerd, dat operationele verliezen intern zijn opgevangen en dat assets in de actieve custody-infrastructuur veilig blijven.

Bijna $16 miljoen in USDT verplaatst via TRON-wallets

De verdachte transfers begonnen op 21 oktober, toen ongeveer 15,99 miljoen USDT en 5.784 TRX van adressen die aan CoinDCX zijn gekoppeld naar een nieuw aangemaakte TRON-wallet werden verplaatst.

Blockchain-securityonderzoeker Darcy wees als eerste op de transacties en identificeerde transfers vanaf meerdere depositadressen en wallets die eerder aan de beurs werden toegeschreven. De grootste afzonderlijke transactie betrof 15,82 miljoen USDT dat één depositadres verli. De ontvangende wallet verdeelde de fondsen vervolgens over verschillende adressen, waarbij aanzienlijke bedragen uiteindelijk terechtkwamen op accounts die geassocieerd worden met Binance, OKX en Gate.

Een gedetailleerde transactie-reconstructie door blockchain-analysebedrijf Bitquery identificeerde ongeveer 40 getroffen wallets, waaronder adressen die ook na het incident van juli 2025 deposits bleven verwerken. Op 22 oktober was ongeveer $9,63 miljoen terechtgekomen op geïdentificeerde depositadressen van beurzen, terwijl op het moment van Bitquery's analyse nog $2,28 miljoen in zeven stroomafwaartse wallets aanwezig was.

ZachXBT daagt de eerste ontkenning van CoinDCX uit

CoinDCX verwierp aanvankelijk de beschuldigingen en legde uit dat de gemarkeerde adressen in januari 2025 waren aangemaakt, waren gecompromitteerd tijdens het eerdere security-incident en buiten gebruik waren gesteld. Medeoprichter en CEO Sumit Gupta hield afzonderlijk vol dat er geen actieve bedrijfs- of klantwallets fondsen naar de getroffen adressen hadden overgemaakt.

ZachXBT daagde die lezing uit en identificeerde een depositadres beginnend met TQKJQ dat nog maanden na de eerdere inbreuk verbonden bleef met de operationele infrastructuur van de beurs. Het adres bleef TRX ontvangen voor transactiekosten en deposits overmaken naar aan CoinDCX gekoppelde hot wallets tot in april en mei 2026. Bitquery identificeerde 88 deposits met een totaalwaarde van ongeveer $15,82 miljoen die zich tussen januari en maart op het adres hadden opgehoopt voordat ze tijdens het incident van oktober werden overgeboekt.

In de herziene uitleg van de beurs werd erkend dat gebruikers bleven cryptomunten storten op buiten gebruik gestelde adressen, ondanks instructies om daar mee te stoppen. CoinDCX had een geautomatiseerd proces om die deposits te verzamelen, maar gaf toe dat dit overwerkingsproces een periode had gefaald, wat tot operationele verliezen heeft geleid.

De oorzaak van dat tekort is een bekend operationeel risico voor gecentraliseerde beurzen: depositadressen die op papier buiten gebruik zijn gesteld blijven vaak gebruikersfondsen ontvangen, en platforms draaien doorgaans geautomatiseerde overdrachten om de losse deposits te verzamelen en klantsaldi bij te schrijven. Wanneer dat overwerkingsproces faalt, kan een beurs schuldig blijven aan usersaldi op assets die zij daadwerkelijk heeft verzameld — precies het gat dat CoinDCX zegt intern te hebben opgevangen in plaats van door te belasten aan gebruikers.

ZachXBT beschuldigde de beurs vervolgens van een gebrek aan transparantie en bekritiseerde de aanvankelijke verwerping van het transactiebewijs voordat de verwerkingsfouten werden toegegeven. De kwestie illustreert ook de verantwoordingsrol die publieke blockchaindata tegenwoordig speelt: de eerste ontkenning van CoinDCX bleef overeind tot de onderliggende on-chain bewijsvoering — depositadressen die nog maanden na de inbreuk aan de infrastructuur verbonden waren — werd gedocumenteerd en gepubliceerd door onafhankelijke onderzoekers en analysebedrijven.

CoinDCX zegt dat klanten zijn gecrediteerd en fondsen veilig zijn

Volgens de herziene positie van het bedrijf zijn alle klantdeposits die naar buiten gebruik gestelde adressen zijn gestuurd gecrediteerd op gebruikersaccounts, zelfs wanneer de bijbehorende assets niet succesvol waren verzameld. Het bedrijf houdt vol dat zijn huidige operationele wallets niet zijn gecompromitteerd en dat klantassets beschermd blijven in gescheiden cold storage. Handel en andere beursdiensten functioneren normaal. Voor gebruikers onderstreept de kwestie dat deposits naar buiten gebruik gestelde adressen afhankelijk zijn van de interne processen van een beurs, zowel voor het crediteren als voor het terugvorderen.

De beurs ving eerder al ongeveer $44 miljoen aan verliezen op na zijn security-inbreuk van juli 2025, toen aanvallers een interne operationeel account voor liquiditeitsvoorziening compromitteerden. CoinDCX kreeg eerder ook vragen over zijn custody-regelingen en verwierp beschuldigingen over het verplaatsen van Indiase klantassets naar een entiteit in het buitenland.

Het geschil valt samen met voortdurende kritische aandacht voor gecentraliseerde cryptocurrencybeurzen in India, waar de herstructurering van WazirX volgde op een afzonderlijke security-inbreuk van $230 miljoen die klanten wachtend op terugbetalingen liet. ZachXBT bekritiseerde eerder ook KuCoin over de omgang met meldingen van gestolen cryptomunten, waaronder beschuldigingen dat depositaccounts van de beurs niet snel genoeg waren bevroren.

CoinDCX heeft publiek geen volledige afrekening geleverd van de getroffen depositsaldi, de definitieve hoogte van de operationele verliezen of de status van eventuele inspanningen om de overgeboekte USDT terug te vorderen. De garanties over klantcreditering zijn niet onafhankelijk vergeleken met de interne boekhouding van de beurs. Die open punten — een volige afrekening, een definitief verliescijfer en updates over eventuele terugvordering — zijn de belangrijkste openbaarmakingen om in de gaten te houden naarmate de situatie zich ontwikkelt.