Indyjska giełda kryptowalut CoinDCX poinformowała o utracie około 15,99 mln USDT po tym, jak środki zostały wykradzione ze starej infrastruktury portfeli, której spółka zaprzestała używać w 2025 roku. CoinDCX oświadczyło, że pokryje całą stratę, a klienci nie poniosą kosztów.

Giełda poinformowała, że jej aktywne portfele i systemy handlowe nie zostały dotknięte. Aktywa klientów pozostają przechowywane w oddzielnych portfelach zimnych, a handel, wpłaty i wypłaty odbywały się bez przerw. CoinDCX oświadczyło, że kryptowaluty klientów są bezpieczne, nietknięte i w pełni rozliczone.

Incydent ten podkreśla również ryzyko wykraczające poza pierwotne naruszenie: wycofane adresy depozytowe mogą pozostawać aktywnymi kanałami tak długo, jak użytkownicy wysyłają na nie środki, a akumulujące się tam aktywa znajdują się poza głównym bezpiecznym portfelem giełdy do czasu ich przeniesienia.

Jak doszło do incydentu z portfelem CoinDCX

CoinDCX oświadczyło, że po raz pierwszy wykryło nietypową aktywność w swoich systemach 21 października 2026 roku. Spółka oświadczyła, że istniejące zabezpieczenia zapobiegły wpłynięciu incydentu na aktywne portfele i systemy handlowe.

Update on the on-chain Wallet Activity – 21st October 2026 Our full update on the recent on-chain activity, what happened, and it means for you. User funds remain safe, and trading and withdrawals continue as usual. Read the full update: — CoinDCX (@CoinDCX) October 25, 2026

Następnego dnia giełda zidentyfikowała nieregularne ruchy środków w danych blockchain oraz otrzymała powiązane zgłoszenia od użytkowników. Późniejsze dochodzenie wykazało, że aktywność dotyczyła starej konfiguracji portfela zawierającej wcześniej nieznane słabości.

Infrastruktura portfela została naruszona podczas incydentu bezpieczeństwa 19 lipca 2025 roku. CoinDCX oświadczyło, że po tym włamaniu zaprzestało korzystania z tej infrastruktury. Niemniej jednak niektórzy użytkownicy nadal wysyłali depozyty na stare adresy zamiast korzystać ze zaktualizowanych adresów wyświetlanych w aplikacji CoinDCX.

Giełda oświadczyła, że kontynuowała przetwarzanie tych depozytów, aby użytkownicy nie utracili dostępu do swoich środków. Proces depozytowy obejmował dwa oddzielne etapy. Najpierw środki były zaksiegowane na koncie użytkownika po ich dotarciu. Następnie oddzielna zautomatyzowana usługa przenosiła, czyli „zamiatła”, te środki do głównego bezpiecznego portfela giełdy.

CoinDCX oświadczyło, że usługa zamiatania zawiodła przez pewien okres. W związku z tym depozyty zgromadziły się na starym adresie i zostały narażone, gdy doszło do kolejnej aktywności. Spółka nie ujawniła pełnej metody wykorzystanej do wypłacenia środków z portfela ani nie zidentyfikowała strony odpowiedzialnej. Te otwarte kwestie pozostają kluczowe dla tego, czy dalsze środki będą mogły zostać namierzone.

Aktualizacja CoinDCX z 25 października jest dostępna na oficjalnej stronie CoinDCX, a ogłoszenie spółki zostało również opublikowane na X.

Tether zamraża część środków

Raporty opublikowane 24 i 25 października informowały, że Tether umieścił na czarnej liście portfele powiązane z wypływem środków. Tether, emitent USDT, może blokować portfele przechowujące jego token. Ponieważ kontrola ta działa na poziomie tokena, może unieruchomić USDT nawet po tym, jak środki opuszczą infrastrukturę samej giełdy.

Firma analityki blockchain AMLBot poinformowała, że około 2,2 mln USD zostało zamrożonych. Kwota ta stanowi około 13,8% zgłoszonej straty CoinDCX. Zamrożenie uniemożliwia przemieszczanie środków, ale nie ozn, że zostały one odzyskane. CoinDCX musiałoby potwierdzić każde odzyskanie, a pozostałe środki wciąż muszą zostać namierzone.

CoinDCX oświadczyło, że działało przez 72 godziny bez przestojów, limitów wypłat ani zakłóceń w handlu. Spółka przyznała również, że „mogła być bardziej proaktywna” w komunikowaniu incydentu. Oświadczyła, że czekała z publikacją aktualizacji do czasu uzyskania pełnego obrazu sytuacji.

Giełda oświadczyła, że planuje wzmocnić monitoring i kontrolę starszych systemów. Będzie również regularnie przypominać, że stare adresy depozytowe są przechowywane tylko przez ograniczony czas. Dla śledzących sprawę czytelników otwarte pozostają kwestie: czy większa część pozostałych środków może zostać zlokalizowana lub zamrożona, czy nieujawniona metoda wypłaty kiedykolwiek zostanie upubliczniona oraz czy CoinDCX potwierdzi odzyskanie jakichkolwiek środków.

W aktualizacji z 25 października CoinDCX zaleciło użytkownikom weryfikację najnowszego adresu depozytowego w aplikacji lub na stronie internetowej przed każdą wpłatą. Giełda ostrzegła, że wysyłanie środków na stare adresy jest bardzo ryzykowne, a giełdy zazwyczaj nie ponoszą odpowiedzialności za aktywa wysłane na te adresy. Ten epizod nadaje temu ostrzeżeniu konkretny kształt: gdy zautomatyzowane zamiatanie się zatrzymało, depozyty wysłane na wycofane adresy pozostały na starym adresie i zostały narażone.

Oryginalny raport został opublikowany przez Blockonomi.