Śledczy blockchainowi publicznie kwestionują wersję CoinDCX dotyczącą zgłoszonego incydentu bezpieczeństwa o wartości 16 milionów dolarów, twierdząc, że indyjska giełda kryptowalut zniekształciła pochodzenie i terminy podejrzanej aktywności portfeli, zidentyfikowanej 22 października 2026 roku. Spór dotyczy depozytowego adresu opartego na TRON oraz tego, czy środki, które przez niego przepłynęły po ujawnionym hacku w lipcu 2025 roku, zostały prawidłowo rozliczone, czy zostały przeniesione bez poinformowania użytkowników.

Zarzuty opisał również Protos.

Zarzuty śledczych

Śledczy Darcy, współpracujący z grupą badawczą zajmującą się bezpieczeństwem Salus, oznaczył około 16 milionów dolarów podejrzanych ruchów z adresów, które według przypuszczeń są powiązane z infrastrukturą powierniczą CoinDCX.

Centralnym portfelem jest adres oparty na TRON, identyfikowany przez ciąg TQKJQ. Śledczy on-chain ZachXBT stwierdził, że depozytowy adres pozostawał w aktywnym użyciu przez dostawcę płynności przez 10 miesięcy po publicznie ujawnionym incydencie bezpieczeństwa CoinDCX z lipca 2025 roku, który giełda wcześniej potwierdziła. Dodał również, że adres otrzymywał opłaty gaz, a depozyty użytkowników były przenzone do obecnego publicznego hot walleta CoinDCX jeszcze w kwietniu i maju 2026 roku.

Terminologia ma znaczenie dla czytelników śledzących spór: adresy depozytowe zbierają wpływy środków klientów, hot wallety przechowują salda, których giełda używa do bieżących wypłat, a gaz to opłata pobierana przez blockchain za przetwarzanie transferów. Sweep polega na konsolidacji środków z jednego adresu do drugiego, natomiast dostawca płynności to zewnętrzna firma dostarczająca głębokość rynkową giełdzie.

ZachXBT opublikował na X następujący komunikat, kierowany bezpośrednio do CoinDCX:

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your team. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

Wpis jest dostępny przez X oraz ten bezpośredni link na X.

ZachXBT określił 15,8 miliona dolarów depozytów użytkowników jako nierozliczone przez zespół CoinDCX. Ta kwota stanowi jego interpretację aktywności portfela TQKJQ na łańcuchu. Nie została niezależnie poddana audytowi ani potwierdzona przez zewnętrzny przegląd śledczy.

Co pozostaje niezweryfikowane

Centralny zarzut — że ruchy z października 2026 roku stanowią nowy lub trwający hack, a nie aktywność związaną z wcześniej skompromitowanymi portfelami — pozostaje kwestionowany i niepotwierdzony. Dostępne materiały dowodowe nie zawierały niezależnie zweryfikowanego zestawu transakcji z eksploratora bloków dowodzącego przypisania własności portfeli. Publiczne rejestry odnotowują transfery między adresami, ale nie wskazują, kto kontroluje portfel; przypisanie zależy od potwierdzenia przez giełdę, jej kontrahentów lub recenzenta śledczego.

CoinDCX nie opublikował analizy powyincydentowej ani zgłoszenia do regulatora dotyczącego konkretnie ruchów z października 2026 roku. Dostępne dowody nie potwierdzają zatem, że doszło do nowego hacku ani że CoinDCX celowo wprowadził użytkowników w błąd.

Odpowiedź CoinDCX

CoinDCX publicznie określił twierdzenia dotyczące adresów i transakcji jako mylące. Giełda stwierdziła, że oznaczona aktywność dotyczyła adresów utworzonych na początku 2025 roku, które zostały skompromitowane podczas incydentu bezpieczeństwa w lipcu 2025 roku, a następnie wycofane z użycia. Dodała również, że użytkownikom odradzano wpłaty na skompromitowane adresy portfeli.

W kolejnym oświadczeniu CoinDCX stwierdził, że aktywność portfela TQKJQ jest powiązana z tymi adresami z początku 2025 roku. Giełda utrzymywała, że ruchy na łańcuchu zidentyfikowane przez śledczych należy przypisać wcześniejszemu, już ujawnionemu incydentowi, a nie nowemu włamaniun
Oświadczenia CoinDCX są dostępne na jego koncie X oraz w kolejnym wpisie. Giełda nie przedstawiła chronologicznego uzgodnienia transakcji ani nie ujawniła publicznie dostawcy płynności, o którym wspomniał ZachXBT.

Spór dotyczy przede wszystkim terminów i przepływów środków. Wersja CoinDCX sytuuje kompromitację w lipcu 2025 roku i traktuje dotknięte adresy jako wycofane z użycia po incydencie. Interpretacja ZachXBT na łańcuchu wskazuje na ruchy środków, transfery gazu i interakcje z hot walletem jeszcze w maju 2026 roku. Jeśli ta interpretacja jest trafna, publiczne ujawnienia giełdy nie obejmowałyby pełnego cyklu życia portfela.

Żadna ze stron nie rozstrzygnęła tego konkretnego sporu faktograficznego weryfikowalną publiczną dokumentacją.

Niedawna zgoda CCI (indyjskiego regulatora konkurencji) na przejęcie udziału w CoinDCX przez Coinbase nadaje incydentowi dodatkową rangę, ponieważ partnerzy instytucjonalni będą badać postawę bezpieczeństwa i standardy ujawniania informacji CoinDCX w ramach prowadzonej należytej staranności. Więcej szczegółów na temat zgody znajduje się w relacji o zatwierdzeniu przez Coinbase udziału w CoinDCX.

Pytania dla użytkowników CoinDCX

Dla użytkowników, którzy w latach 2025 i 2026 przechowywali USDT lub inne aktywa na CoinDCX, spór rodzi konkretne pytania dotyczące powiernictwa i rozliczeń, na które giełda nie odpowiedziała na poziomie transakcji. USDT to stablecoin powiązany z dolarem, emitowany na kilku publicznych blockchainach, w tym na TRON. Zalecenie CoinDCX „nie dokonuj wpłat” wskazuje, że giełda wiedziała o kompromitacji konkretnych adresów portfeli. Jednak rejestry publiczne nie pokazują, czy użytkownicy, którzy przechowywali środki na tych adresach, zostali indywidualnie powiadomieni lub zrekompensowano im straty.

Ujawnienia incydentów bezpieczeństwa zazwyczaj identyfikują dotknięte adresy portfeli, przedstawiają przybliżony szacunek ekspozycji na środki oraz harmonogram włamania i reakcji. Jeśli adres TQKJQ nadal kierował depozyty użytkowników do hot walleta CoinDCX w kwietniu i maju 2026 roku, jak sugeruje analiza ZachXBT, użytkownicy wpłacający w tym okresie mogli przesłać środki do portfela, który giełda wewnętrznie klasyfikowała jako skompromitowany.

Publicznie dostępne komunikaty CoinDCX nie określają, czy wewnętrzne mechanizmy kontroli routingu chroniły tych użytkowników, też byli narażeni na dodatkowe ryzyko.

Szerszy kontekst rynkowy dodatkowo nasila kwestię przejrzystości. Indeks Strachu i Chciwości był raportowany na poziomie 68, w strefie „Chciwości”, co wskazuje, że użytkownicy giełd byli wówczas bardziej tolerancyjni wobec ryzyka, a nie bardziej ostrożni. W takim otoczeniu błędy w ujawnianiu informacji przez scentralizowane giełdy mogą powodować poważne konsekwencje reputacyjne, gdy wyjdą na jaw, ponieważ użytkownicy mogą być mniej czujni w momencie dotarcia do nich informacji. Indeks jest publikowany przez Alternative.me.

Dowody potrzebne do rozstrzygnięcia sporu

Odpowiedni zapis na łańcuchu jest publicznie dostępny w rejestrze TRON. Pełne rozstrzygnięcie wymagałoby kilku informacji, których ani śledczy, ani giełda nie opublikowali w całości.

Należą do nich weryfikowalny wpis w eksploratorze TRON dla konkretnego adresu TQKJQ, pokazujący pełną historię transakcji, znaczniki czasu, adresy kontrahentów i kwoty USDT. Śledczy musieliby również ustalić tożsamość i relację umowną dostawcy płynności, o którym wspomniał ZachXBT. Wreszcie, CoinDCX musiałby potwierdzić lub konkretnie obalić transfery do hot walleta z kwietnia i maja 2026 roku, opisane w wpisie ZachXBT.

Najważniejsze otwarte pytanie dotyczy tego, czy obecny hot wallet CoinDCX otrzymał środki z TQKJQ po lipcu 2025 roku. Jeśli transfery zostaną potwierdzone na łańcuchu, oświadczenie CoinDCX, że adresy zostały wycofane z użycia po incydencie z lipca 2025 roku, byłoby faktograficznie niekompletne.

Kolejną nierozstrzygniętą kwestią jest to, czy indyjskie regulatorzy finansowi otrzymali raport o incydencie dotyczący włamania z lipca 2025 roku lub ruchów z października 2026 roku. W dostępnych materiałach nie znaleziono żadnego zgłoszenia regulatora ani działań egzekucyjnych.

Sposób, w jaki scentralizowane giełdy obsługują powiernictwo hot walletów i ujawnianie incydentów bezpieczeństwa, jest również istotny dla tego sporu. Porównania agregatorów finansów scentralizowanych i protokołów zdecentralizowanych giełd mogą dostarczyć kontekstu dotyczącego różnych modeli powiernictwa; relacja na ten temat jest dostępna w tym porównaniu.

Dostępne dowody nie potwierdzają zarzutu, że CoinDCX kłamał, ani że doszło do nowego hacku. Potwierdzają jednak konkretne, nierozstrzygnięte rozbieżności między podanym przez CoinDCX harmonogramem wycofania portfeli a raportowaną aktywnością na łańcuchu przez ZachXBT w kwietniu i maju 2026 roku.

Dopóki CoinDCX nie przedstawi uzgodnienia na poziomie transakcji ani niezależny audytor nie opublikuje raportu śledczego, użytkownicy i kontrahenci oceniają ryzyko powiernictwa i ujawniania informacji bez pełnego obrazu.