Największa indyjska giełda kryptowalut zaprzeczyła, że padła ofiarą naruszenia bezpieczeństwa, po tym jak śledczy analizujący dane on-chain wskazali około 16 mln USD podejrzanych odpływów, tworząc publiczną rozbieżność między obserwacjami z blockchaina a oficjalnym wyjaśnieniem platformy dotyczącym operacji skarbcowych.

Podejrzane transfery natychmiast przyciągnęły uwagę ze względu na swoją skalę i moment przeprowadzenia. Jak podał CoinDesk, śledczy analizujący blockchain publicznie zidentyfikowali ruchy środków między portfelami i uznali je za podejrzane, podczas gdy giełda odrzuciła te zarzuty, twierdząc, że do włamania nie doszło. Konkretne kwestie kwestionowane w sprawie zarzutów dotyczących włamania na CoinDCX o wartości 16 mln USD wyznaczają zakres sporu w tym incydencie.

Co wykryli śledczy on-chain — i co pozostaje niezweryfikowane

Śledczy analizujący blockchain zidentyfikowali ruchy środków między portfelami o łącznej wartości około 16 mln USD i uznali je za podejrzane. Transfery zwróciły uwagę ze względu na swoją skalę i moment przeprowadzenia, a nie dlatego, że adresy docelowe lub status autoryzacji zostały niezależnie potwierdzone w chwili publikacji pierwszych informacji.

Dane on-chain są niezmienne, ale nie wyjaśniają się same. Duży odpływ z portfela giełdy może oznaczać exploit, rutynowe równoważenie środków między portfelami cold storage, transfer powierniczy lub rozliczenie pozagiełdowe. Giełdy zazwyczaj przechowują rezerwy na niepodłączonych do internetu adresach cold storage oraz w połączonych z internetem portfelach hot obsługujących wypłaty, a przemieszczanie środków między nimi jest zwykłym elementem operacji skarbcowych. Bez przypisania portfela do konkretnego hasha transakcji oraz zweryfikowanej relacji nadawcy i odbiorcy określanie transferu jako „podejrzanego” pozostaje wnioskiem, a nie potwierdzonym faktem.

Na moment publikacji w publicznych doniesieniach nie wskazano niezależnego wpisu w eksploratorze bloków, który łączyłby oznaczone portfele z potwierdzonym nieautoryzowanym transferem. Sama giełda nie opublikowała po incydencie audytu portfeli ani dziennika transakcji, który umożliwiłby weryfikację on-chain przedstawionego przez nią wyjaśnienia. Do czasu publikacji możliwych do zweryfikowania dowodów on-chain kwotę 16 mln USD należy traktować jako deklarowaną skalę wskazanej aktywności, a nie potwierdzoną wartość strat.

Dlaczego giełda twierdzi, że nie doszło do włamania

Giełda wydała oświadczenie, w którym przedstawiła odpływy jako zdarzenie inne niż naruszenie bezpieczeństwa. Na moment publikacji tego stanowiska nie potwierdziła niezależnie zewnętrzna firma zajmująca się bezpieczeństwem ani publiczna rekonsyliacja on-chain.

Zaobserwowane odpływy mogą wyjaśniać trzy odrębne scenariusze, które nie oznaczają włamania w konwencjonalnym rozumieniu: autoryzowany transfer wewnętrzny między portfelami cold i hot, ruch środków powierniczych związany z zewnętrznym partnerem lub segregacja aktywów wynikająca z wymogów compliance. Każdy z tych scenariuszy byłby operacyjnie zwyczajny, jednak na poziomie obserwacji on-chain nie da się go odróżnić od exploita bez dodatkowych informacji ze strony giełdy.

Wiarygodna aktualizacja dotycząca incydentu powinna obejmować adres portfela źródłowego i jego klasyfikację w wewnętrznym skarbcu giełdy, adres odbiorcy i informację o jego właścicielu, ścieżkę autoryzacji transferu oraz informację, czy w dowolnym momencie podczas ruchu środków lub po nim ucierpiały salda użytkowników. Bez tych ujawnień zaprzeczenie giełdy niewiele wyjaśnia użytkownikom monitorującym ryzyko związane z przechowywaniem środków.

Luka informacyjna

Scentralizowane giełdy domyślnie korzystają z nieprzejrzystych modeli przechowywania aktywów, co utrudnia ocenę ekspozycji użytkowników na konkretny incydent bez jednoznacznego ujawnienia danych dotyczących proof of reserves lub rekonsyliacji portfeli — szczególnie użytkownikom DeFi przyzwyczajonym do przejrzystości on-chain. Poświadczenia proof of reserves, w ramach których platforma kryptograficznie wykazuje stan posiadanych aktywów na określony dzień, same w sobie nie uwzględniają poszczególnych transferów między portfelami. Dlatego silniejszą formą ujawnienia informacji jest rekonsyliacja na poziomie transakcji.

Ujawnienia, które pozwoliłyby zamknąć lukę weryfikacyjną, obejmują: opublikowany adres portfela powiązany ze wskazanymi odpływami wraz z podaną klasyfikacją, hash transakcji możliwy do niezależnego sprawdzenia przez użytkowników w eksploratorze bloków, oświadczenie, czy w analizowanym okresie wypłaty były utrudnione lub ograniczane, oraz potwierdzenie, czy pozycja platformy w zakresie proof of reserves uległa istotnej zmianie.

Użytkownicy posiadający aktywne salda na platformie powinni sprawdzić, czy funkcja wypłat działa bez zakłóceń, oraz monitorować oficjalne komunikaty dotyczące sytuacji. Reagowanie na niepotwierdzone doniesienia również wiąże się z ryzykiem, szczególnie w zmiennych warunkach rynkowych, gdy paniczne wypłaty mogą wywołać presję na płynność niezależnie od rzeczywistego zdarzenia związanego z bezpieczeństwem.

Sygnały, które warto obserwować, dopóki sytuacja pozostaje nierozstrzygnięta

Najbardziej bezpośrednim sygnałem jest czas realizacji wypłat. Jeśli platforma rzeczywiście doświadcza problemu z przechowywaniem środków, opóźnienia lub ograniczenia wypłat zwykle pojawiają się przed oficjalnym potwierdzeniem. Drugim sygnałem jest saldo znanych giełdowych portfeli hot w sieci: trwały spadek salda, którego nie równoważą napływy do portfeli cold storage, byłby niespójny z wyjaśnieniem zakładającym rutynowe równoważenie środków.

Do incydentu dochodzi w czasie, gdy indyjska infrastruktura giełd kryptowalutowych podlega coraz większej kontroli, a platformy w regionie dostosowują się do wymogów compliance dotyczących segregacji i raportowania aktywów przechowywanych w imieniu klientów. Rozszerzanie przez międzynarodowe giełdy bezpośrednich kanałów INR na rynek indyjski zwiększa presję konkurencyjną na krajowe platformy, przez co sygnały dotyczące zaufania i przejrzystości mają większe znaczenie dla utrzymania użytkowników niż w mniej konkurencyjnym otoczeniu.

Najważniejszym ryzykiem dla użytkowników nie jest sama kwota 16 mln USD, lecz asymetria informacyjna, którą ta kwota odzwierciedla. Gdy publiczne obserwacje z blockchaina rozmijają się z oficjalnymi oświadczeniami giełdy, ciężar dowodu spoczywa na platformie. Do czasu opublikowania możliwej do zweryfikowania rekonsyliacji przechowywanie środków na każdej scentralizowanej giełdzie wiąże się z nieoszacowanym ryzykiem skrajnym, chyba że platforma potrafi precyzyjnie rozliczyć własną aktywność portfeli on-chain.

Źródła: CoinDesk, DefiLiban