Indyjska giełda kryptowalut CoinDCX przyznała się do awarii w systemie obsługi depozytów po tym, jak blisko 16 milionów USDT przeniesiono z portfeli powiązanych z platformą, wycofując się z wcześniejszego wyjaśnienia, że podejrzana aktywność dotyczyła wyłącznie porzuconych adresów.

Przyznanie z 22 października nastąpiło po zarzutach badacza blockchaina ZachXBT, który zakwestionował twierdzenie giełdy, że wskazane portfele były nieaktywne od włamania na 44 miliony dolarów w lipcu 2025 roku. CoinDCX przyznaje obecnie, że depozyty w dalszym ciągu trafiały na te adresy, a proces zbierania środków przez pewien czas nie działał.

Firma utrzymuje, że dotknięci klienci otrzymali zaksięgowanie środków, że straty operacyjne zostały pokryte wewnętrznie oraz że aktywa przechowywane w aktywnej infrastrukturze powierniczej pozostają bezpieczne.

Blisko 16 milionów USDT przeniesiono przez portfele w sieci TRON

Podejrzane przelewy rozpoczęły się 21 października, kiedy około 15,99 miliona USDT i 5 784 TRX przeniesiono z adresów powiązanych z CoinDCX do nowo utworzonego portfela w sieci TRON.

Badacz bezpieczeństwa blockchaina Darcy pierwszy zgłosił te transakcje, wskazując przelewy z wielu adresów depozytowych i portfeli wcześniej przypisywanych giełdzie. Największa pojedyncza transakcja obejmowała 15,82 miliona USDT opuszczających jeden adres depozytowy. Portfel odbiorczy następnie rozdystrybuował środki na kilka adresów, a znaczne kwoty ostatecznie trafiły na konta powiązane z Binance, OKX i Gate.

Szczegółowa rekonstrukcja transakcji przeprowadzona przez firmę analityczną Bitquery wykazała około 40 dotkniętych portfeli, w tym adresy, które po incydencie z lipca 2025 roku nadal przetwarzały depozyty. Do 22 października około 9,63 miliona dolarów trafiło na zidentyfikowane adresy depozytowe giełd, a kolejne 2,28 miliona dolarów pozostawało w siedmiu portfelach pośrednich w momencie analizy Bitquery.

ZachXBT kwestionuje pierwsze zaprzeczenie CoinDCX

CoinDCX początkowo odrzuciła zarzuty, wyjaśniając, że wskazane adresy zostały utworzone w styczniu 2025 roku, skompromitowane podczas wcześniejszego incydentu bezpieczeństwa i wycofane z użytku. Współzałożyciel i dyrektor generalny Sumit Gupta osobno utrzymywał, że żadne aktywne portfele firmy ani klientów nie przelały środków na dotknięte adresy.

ZachXBT zakwestionował tę wersję, wskazując adres depozytowy zaczynający się od TQKJQ, który pozostawał połączony z operacyjną infrastrukturą giełdy jeszcze przez miesiące po poprzednim włamaniu. Adres ten w dalszym ciągu otrzymywał TRX na opłaty transakcyjne i przekazywał depozyty do gorących portfeli powiązanych z CoinDCX jeszcze w kwietniu i maju 2026 roku. Bitquery zidentyfikował 88 depozytów o łącznej wartości około 15,82 miliona dolarów, które zgromadziły się na tym adresie między styczniem a marcem, zanim zostały wyprowadzone podczas październikowego incydentu.

Zmodyfikowane wyjaśnienie giełdy przyznało, że użytkownicy nadal wpłacali kryptowaluty na wycofane adresy, mimo instrukcji, by przestali z nich korzystać. CoinDCX utrzymywała automatyczny proces zbierania tych depozytów, ale przyznała, że przez pewien czas on zawodził, co skutkowało stratami operacyjnymi.

Mechanika stojąca za tą luką to znane zagrożenie operacyjne dla giełd scentralizowanych: adresy depozytowe formalnie wycofane z użytku często wciąż przyjmują środki użytkowników, a platformy zazwyczaj uruchamiają automatyczne procesy zbierania, aby gromadzić te depozyty i księgować salda klientów. Gdy proces zbierania zawodzi, giełda może skończyć z zobowiązaniami wobec użytkowników wobec aktywów, których nigdy faktycznie nie zebrała — to luka, którą CoinDCX — jak deklaruje — pokryła wewnętrznie, zamiast przerzucać ją na użytkowników.

ZachXBT następnie zarzucił giełdzie brak przejrzystościhttps://x.com/zachxbt/status/2113264816546873716), krytykując jej początkowe odrzucenie dowodów transakcyjnych, zanim uznano awarie procesu obsługi depozytów. Ta sprawa ilustruje również rolę rozliczeniową, jaką odgrywają obecnie publiczne dane blockchaina: początkowe zaprzeczenie CoinDCX obowiązywało do momentu, aż leżące u podstaw dowody on-chain — adresy depozytowe wciąż powiązane z infrastrukturą giełdy miesiącami po włamaniu — zostały udokumentowane i opublikowane przez niezależnych badaczy i firmy analityczne.

CoinDCX zapewnia, że klienci otrzymali zaksięgowanie, a środki są bezpieczne

Zgodnie ze zmodyfikowanym stanowiskiem wszystkie depozyty klientów wysłane na wycofane adresy zostały zaksięgowane na kontach użytkowników, nawet gdy odpowiadające im aktywa nie zostały faktycznie zebrane. Firma utrzymuje, że jej obecne portfele operacyjne nie zostały skompromitowane, a aktywa klientów pozostają chronione w segregowanym cold storage. Handel i inne usługi giełdowe działają normalnie. Dla użytkowników sprawa ta pokazuje również, że depozyty wysłane na wycofane adresy zależą od wewnętrznych procesów giełdy zarówno w zakresie księgowania, jak i odzyskiwania środków.

Giełda wcześniej pokryła około 44 milionów dolarów strat po [włamaniu z lipca 2025 roku, gdy atakujący skompromitowali wewnętrzne konto operacyjne używane do zapewniania płynności. CoinDCX stawiała wcześniej pytania dotyczące ustaleń powierniczych, odrzucając zarzuty o przenoszenie aktywów indyjskich klientów do podmiotu zagranicznego.

Spór ma miejsce w kontekście stałej kontroli nad scentralizowanymi giełdami kryptowalut w Indiach, gdzie restrukturyzacja WazirX nastąpiła po odrębnym włamaniu na 230 milionów dolarów, które pozostawiło klientów oczekiwaniu na zwroty środków. ZachXBT wcześniej krytykował również KuCoin za sposób obsługi zgłoszeń kradzieży kryptowalut, w tym zarzuty, że konta depozytowe na giełdzie nie zostały zamrożone wystarczająco szybko.

CoinDCX nie opublikowała publicznie pełnego uzgodnienia dotkniętych sald depozytowych, ostatecznej wartości strat operacyjnych ani statusu jakichkolwiek działań mających na celu odzyskanie przeniesionych USDT. Zapewnienia o zaksięgowaniu środków klientom nie zostały niezależnie uzgodnione z wewnętrzną ewidencją księgową giełdy. Te otwarte kwestie — pełne uzgodnienie, ostateczna kwota strat i aktualizacje dotyczące odzyskiwania środków — to kluczowe ujawnienia, na które warto czekać w miarę rozwoju sytuacji.