Podejrzane transakcje z portfela od dawna powiązanego z indyjską giełdą kryptowalut CoinCDX zapoczątkowały kolejne śledztwo w sprawie kradzieży, po tym jak dane on-chain wykazały przepływ ponad 15 milionów dolarów w stablecoinach z adresu ujawnionego podczas włamania na giełdzie w lipcu 2025 roku.

Wypływy wykryto późnym wieczorem 21 października — wyniosły łącznie 15,99 miliona USD w USDT oraz 5783,81 TRX. Środki trafiły na adres pośredniczący, który następnie został opróżniony, a część USDT dotarła do gorących portfeli Binance, a także OKX i Gate.

CoinCDX zaprzecza, jakoby portfel znajdował się obecnie pod jej kontrolą, twierdząc, że adres został błędnie oflagowany na Arkham Intelligence.

„Adresy oflagowane przez Arkham należały kiedyś do CoinDCX przed zeszłorocznym włamaniem czyli z lipca 2025 roku. Te adresy zostały wygenerowane w styczniu 2025 roku i zostały skompromitowane podczas poprzedniego włamania w lipcu 2025 roku. Wygląda na to, że hakerzy ponownie używają starych adresów portfeli i to brzmi jak fałszywy alarm” — wyjaśnił na X współzałożyciel giełdy Sumit Gupta.

Portfel CoinCDX był nadal używany w protokołach DeFi

Chociaż CoinCDX twierdzi, że nie używała portfela ani go nie kontrolowała, dowody on-chain pokazują, że adres pozostawał aktywny jeszcze długo po eksploicie z 2025 roku. Badacz on-chain ZachXBT zwrócił uwagę, że portfel był nadal wykorzystywany jako dostawca płynności, a jednocześnie zbierał wpłaty użytkowników. Dodatkowo wskazał, że CoinCDX wciąż musi rozliczyć około 15,8 miliona dolarów środków użytkowników w przejrzystym dowodzie rezerw — ujawnieniu, za pomocą którego giełdy pozwalają użytkownikom zweryfikować, że posiadane aktywa pokrywają zobowiązania wobec klientów.

Najnowsze przepływy środków mogą nie oznaczać kolejnej kradzieży z portfela, lecz raczej pokazywać, że użytkownicy CoinCDX nadal wpłacali środki na ten portfel przez co najmniej 10 miesięcy po włamaniu z 2025 roku. ZachXBT ustalił również, że obecne gorące portfele giełdy wysyłały gas na skompromitowany adres jeszcze w kwietniu 2026 roku.

To wydarzenie pogłębia wątpliwą historię giełdy. Jak wcześniej informował Cryptopolitan, CoinCDX została oznaczona jako giełda wykorzystywana do prania pieniędzy z oszustw, a w 2025 roku ucierpiała również w włamaniu, podczas którego skradziono do 44 milionów dolarów.

CoinCDX to stosunkowo niewielka giełda — według CoinGecko odnotowała 1,15 miliona USD dziennego wolumenu w ciągu ostatnich 24 godzin. Najbardziej aktywną parą jest para fiat–USDT, a oferta aktywów jest ograniczona. Platforma jest już postrzegana jako z natury ryzykowna, ale najnowsze ustalenia wzmogły wątpliwości, że operator rynku mógł zaniedbać ochronę środków użytkowników, pozwalając, wpłaty zasilali już skompromitowany portfel.

Czy środki CoinCDX można uratować?

W niezwykłym ruchu środki z CoinCDX trafiły na giełdy scentralizowane. Większość kwoty znajdowała się w USDT, co oznacza, że Tether lub giełdy mogłyby zamrozić środki i odwrócić stratę — ale zależy to od potwierdzenia przez CoinCDX, że doszło do exploita. Tether zamrażał USDT w poprzednich przypadkach kradzieży, więc czy emitent oraz giełdy odbierające zablokują oflagowane środki, to jedno z kluczowych wydarzeń, na które warto zwracać uwagę w miarę rozwoju śledztwa.

Przepływy środków z portfela exploitera powtórzyły też schemat z poprzedniego włamania na CoinCDX, kiedy skradzione fundusze zostały wyprane przez rynki scentralizowane.

Obecnie CoinCDX podejrzewa się o wadliwe praktyki bezpieczeństwa i faktyczne ponowne używanie skompromitowanych portfeli, przy czym nie dostarcza wystarczających dowodów na bezpieczeństwo środków użytkowników. Giełda po raz kolejny wydała oświadczenie, w którym twierdzi, że nie wchodziła w interakcje z tymi portfelami, co stoi w sprzeczności z dowodami on-chain.

Ekspozycja CoinCDX to stosunkowo rzadkie zdarzenie, ponieważ większość ataków wymierzona jest w protokoły zdecentralizowane. Podejrzewany exploit na CoinCDX pojawił się w momencie, gdy użytkownicy kryptowalut stają się coraz bardziej ostrożni wobec włamań i przypadkowej ekspozycji — w tym kluczy prywatnych skompromitowanych przez wyciek w Railway oraz potencjalnych skutków nowo odkrytych podatności PHP.

Incident z CoinCDX nie jest jeszcze w pełni wyjaśniony. Jednak jeśli giełda skierowała środki użytkowników na skompromitowany adres, dodatkowo podważyłoby to zaufanie do wpłacania kryptowalut na portfele giełdowe.

Badania on-chain ujawniły dodatkowe powiązania między portfelami hakera a adresami używanymi przez CoinCDX, na co zwrócił uwagę @DarcyAri — konto, które jako pierwsze zauważyło podejrzane transfery.