Indyjska giełda CoinDCX poinformowała, że poniosła stratę w wysokości 15,99 mln USD po tym, jak awaria wewnętrznego procesu doprowadziła do kumulowania się wpłat klientów na wycofanym portfelu kryptowalutowym związanym z naruszeniem bezpieczeństwa o wartości 44 mln USD, którego giełda doświadczyła w lipcu 2025 roku.

Według giełdy niektórzy użytkownicy nadal wysyłali środki na stare adresy depozytowe, mimo instrukcji, aby korzystać z zaktualizowanych portfeli. Automatyczna usługa odpowiedzialna za przenoszenie zbłąkanych wpłat do głównych portfeli CoinDCX przestała działać na nieokreślony czas, co skutkowało stratą. Usługi tego typu są rutynowym elementem zaplecza operacji skarbcowych giełd, a ten incydent pokazuje, jak pojedyncza niezauważona awaria w tej warstwie może zamienić pozostałe wpłaty w bezpośrednie uderzenie w bilans operatora.

Firma podkreśliła, że działająca infrastruktura nie została dotknięta, oświadczając, że aktywne portfele, systemy transakcyjne i salda klientów nie ucierpiały, a środki użytkowników pozostają chronione w oddzielnych portfelach zimnych. To rozróżnienie ma znaczenie: brakująca kwota obciążyła księgi samej giełdy, a nie indywidualne konta klientów.

Ujawnienie nastąpiło po wcześniejszych zaprzeczeniach dotyczących podejrzanych wypływów środków, na które wskazywali badacze blockchaina. Badacz on-chain ZachBT, który był jedną z pierwszych osób sygnalizujących włamanie z lipca 2025 roku, publicznie zakwestionował wersję giełdy dotyczącą aktywności związanej z wycofanymi adresami. Dyrektor generalny CoinDCX Sumit Gupta początkowo określił doniesienia mianem fałszywego alarmu.

CoinDCX, założona w 2018 roku przez Sumita Guptę i Neeraja Khandelwala, należy do największych giełd kryptowalut w Indiach. W lipcu 2025 roku z jednego z jej wewnętrznych kont wykorzystywanych do zapewniania płynności wyprowadzono około 44 mln USD. Wtedy firma oświadczyła, że portfele klientów nie ucierpiały, a stratę poniesie z własnego skarbca. W połączeniu włamanie i awaria usługi zbierania wpłat oznaczają, że giełda poniosła już łącznie blisko 60 mln USD strat w obu incydentach.

Incydent uwypukla ryzyko operacyjne i bezpieczeństwa związane z zarządzaniem przestarzałą infrastrukturą portfeli, nawet po wycofaniu adresów z użytku w następstwie włamania. Wycofanie narażonych adresów to tylko część pracy po poważnym ataku; środki, które wciąż napływają na wycofane adresy, muszą zostać wychwycone i rozliczone, a własne ujawnienie CoinDCX pokazuje koszt przeoczenia tego kroku. Giełda oświadczyła, że wzmocni monitoring i kontrole wokół swoich wycofanych systemów — jak dotąd jest to jej główny konkretny następny krok, biorąc pod uwagę, że nie podała szczegółów dotyczących czasu trwania awarii usługi zbierania wpłat.