Największa indyjska giełda kryptowalut, CoinDCX, zaprzeczyła, że jej aktywne portfele zostały skompromitowane, po tym jak badacze blockchaina wykryli podejrzane wypływy w wysokości około 16 milionów dolarów z adresów powiązanych z platformą.

Giełda stwierdziła, że zasygnalizowane transakcje dotyczyły starych adresów portfeli, które zostały skompromitowane podczas włamania w lipcu 2025 roku i nie były od tego czasu używane. Jednak co najmniej jeden badacz on-chain zaprzeczył, twierdząc, że jeden z tych adresów nadal przyjmował depozyty i wchodził w interakcje z bieżącym portfelem CoinDCX jeszcze w 2026 roku. To właśnie ten konflikt sprawia, że całe zdarzenie to więcej niż rutynowy fałszywy alarm: wszystko zależy od tego, czy adresy, które giełda nazywa wycofanymi, były nadal podłączone do jej żywego przepływu depozytów — to różnica między hakerami ponownie używającymi martwych adresów a zaniedbaniem operacyjnym po stronie platformy.

CoinDCX przyznał, że tymczasowa awaria jego procesu zamiatania depozytów z wycofanych adresów spowodowała straty operacyjne, które pokrył po zapisaniu środków poszkodowanym użytkownikom.

"Transakcje wymienione w niedawnych twierdzeniach dotyczą starych adresów portfeli utworzonych w styczniu 2025 roku. Te adresy zostały skompromitowane w lipcu 2025 roku i nie były od tego czasu używane przez CoinDCX. Obecnie zgłaszana aktywność dotyczy tych starych adresów i nie ma żadnego związku z CoinDCX", powiedział rzecznik giełdy CoinDesk. "Obecne centralne adresy CoinDCX i adresy użytkowników nie zostały naruszone, a żadne środki CoinDCX z aktywnych portfeli nie zostały skompromitowane."

Jak pojawiły się podejrzenia

Obawy pojawiły się w środę, gdy użytkownik X o imieniu Darcy zasygnalizował duży wypływ z portfela hot CoinDCX i kilku jego adresów depozytowych. Transfery opiewały łącznie na około 16 milionów dolarów w USDT, stablecoinie powiązanym z dolarem, oraz tokenie TRX sieci Tron.

Każdy użytkownik CoinDCX otrzymuje osobisty adres depozytowy, unikalny ciąg znaków służący do wysyłania kryptowal na giełdę. Platforma regularnie "zamiata" te depozyty, co oznacza, że przenosi je do własnych głównych portfeli, aby wszystko znajdowało się w jednym kontrolowanym miejscu. Część tych środków trafia do portfela hot, podłączonego do internetu portfela używanego do codziennych wypłat, podczas gdy reszta jest przenoszona do portfeli zimnych, przechowywanych offline. Zamiatanie to standardowa praktyka na giełdach scentralizowanych, dlatego anomalie w tym przepływie są zwykle odczytywane jako potencjalne zdarzenia bezpieczeństwa, a nie rutynowe porządki.

Według Darcy'ego wszystkie zasygnalizowane środki zostały wysłane na jeden adres w sieci Tron, przy czym największa pojedyncza transakcja wyniosła 15 819 002 USDT. Ten adres następnie podzielił środki między kilka różnych portfeli. Post zasygnalizował wypływ jako podejrzewaną kradzież, budząc obawy przed nowym włamaniem na giełdę.

CoinDCX został już wcześniej wykorzystany, w lipcu 2025 roku, tracąc w tym incydencie około 44 milionów dolarów.

CEO nazywa to fałszywym alarmem; badacz się sprzeciwia

CEO CoinDCX Sumit Gupta odpowiedział na X, mówiąc, że hakerzy z lipca 2025 roku wydają się ponownie używać starych adresów portfeli, i nazwał całe zdarzenie fałszywym alarmem. Innymi słowy, stanowisko giełdy jest takie, że porzuciła te adresy po włamaniu i to hakerzy nadal z nich korzystają.

ZachXBT, znany badacz on-chain, zakwestionował to twierdzenie, mówiąc, że co najmniej jeden z tych adresów, oznaczony TQKJQ, był nadal używany.

"Depozytowy adres CoinDCX TQKJQ był używany przez LP przez 10 miesięcy po waszym incydencie z lipca 2025 roku i zamiatał depozyty użytkowników + otrzymywał gas jeszcze w kwietniu i maju 2026 roku na wasz obecny publiczny portfel hot", powiedział.

Mówiąc prościej, ZachXBT stwierdził, że adres nadal zbierał depozyty klientów i przekazywał je do bieżącego portfela CoinDCX jeszcze tej wiosny. LP, czyli dostawca płynności, to firma dostarczająca zlecenia kupna i sprzedaży na giełdę, natomiast gas to niewielka opłata płacona za przenoszenie tokenów w blockchainie. Jeśli się to potwierdzi, ten opis zaciera wyraźną granicę, którą giełda rysuje między wycofaną a aktywną infrastrukturą — i to jest sedno sporu.

Giełda przyznaje się do zaniedbania porządkowania

Pytany, czy stary adres został pozostawiony jako porzucony, choć nadal obsługiwał środki, CoinDCX stwierdził, że po włamaniu z lipca 2025 roku ostrzegał użytkowników, aby nie wysyłali środków na skompromitowane adresy. Giełda obecnie nazywa te adresy "wycofanymi" (deprecated).

"Pomimo naszych wcześniejszych powiadomień niektórzy użytkownicy nadal wysyłali środki na wycofane adresy depozytowe zamiast na najnowsze", powiedział rzecznik.

Giełda stwierdziła, że proces zamiatania ma na celu wychwycenie depozytów wysłanych na takie adresy, ale przez pewien czas zawodził. CoinDCX powiedział, że zapisał środki każdemu poszkodowanemu użytkownikowi. Dodał, że aktywa klientów znajdują się w portfelach zimnych, a obecne adresy nie zostały naruszone. Handelwa jak zwykle. Kwestią do obserwowania jest to, czy dalsza dokumentacja on-chain rozstrzygnie, która wersja jest prawdziwa — i jak CoinDCX wyjaśni, dlaczego wycofany adres nadal zamiatał depozyty długo po incydencie z lipca 2025 roku. Dla deponentów praktyczną lekcję niesie samo oświadczenie giełdy: wysyłaj środki wyłącznie na najnowszy adres wyświetlany przez platformę, ponieważ depozyty na wycofane adresy zależą całkowicie od sprawnego działania procesu porządkowania.