Подозрительные транзакции с кошелька, давно связанного с индийской криптобиржей CoinCDX, стали поводом для нового расследования кражи: данные ончейн-анализа показали вывод более 15 млн долларов в стейблкоинах с адреса, скомпрометированного при взломе биржи в июле 2025 года.

Отток был зафиксирован поздно вечером 21 октября: он составил 15,99 млн долларов в USDT и 5 783,81 TRX. Средства были направлены на промежуточный адрес, который затем был опустошен, при этом часть USDT попала на горячие кошельки Binance, а также OKX и Gate.

CoinCDX отрицает, что кошелек в настоящее время находится под её контролем, утверждая, что адрес был ошибочно помечен на Arkham Intelligence.

«Адреса, помеченные Arkham, принадлежали CoinDCX до прошлогоднего взлома, то есть до июля 2025 года. Эти адреса были созданы в январе 2025 года и были скомпрометированы при предыдущем взломе в июле 2025 года. Похоже, хакеры повторно используют старые адреса кошельков, и это похоже на ложную тревогу», — пояснил сооснователь биржи Сумит Гупта в X.

Кошелек CoinCDX продолжал использоваться в протоколах DeFi

Хотя CoinCDX утверждает, что не использовала и не контролировала этот кошелек, ончейн-данные показывают, что адрес оставался активным долгое время после эксплойта 2025 года. Ончейн-исследователь ZachXBT отметил, что кошелек продолжал использоваться как поставщик ликвидности и одновременно собирал депозиты пользователей. Он также указал, что CoinCDX сих пор не отчиталась примерно о 15,8 млн долларов пользовательских средств в прозрачном доказательстве резервов — раскрытии, с помощью которого биржи позволяют пользователям убедиться, что активы покрывают обязательства перед клиентами.

Недавнее движение средств может означать не еще одну кражу из кошелька, а то, что пользователи CoinCDX продолжали пополнять этот кошелек как минимум в течение 10 месяцев после взлома 2025 года. ZachXBT также обнаружил, что текущие горячие кошельки биржи отправляли газ на скомпрометированный адрес вплоть до апреля 2026 года.

Этот эпизод дополняет и без того непростую историю. Как ранее сообщал Cryptopolitan, CoinCDX уже отмечалась как биржа, использовавшаяся для отмывания средств при мошенничестве, а в 2025 году она также пострадала от взлома с ущербом до 44 млн долларов.

CoinCDX — относительно небольшая биржа: за последние 24 часа её дневной объем торгов составил 1,15 млн долларов по данным CoinGecko. Самая активная торговая пара — фиат и USDT, список доступных активов ограничен. Платформу и так считали по своей сути рискованной, но последние находки усилили сомнения в том, что оператор мог не обеспечить защиту пользовательских средств, позволив депозитам вновь наполнить уже скомпрометированный кошелек.

Можно ли спасти средства CoinCDX?

Необычным шагом средства, выведенные с CoinCDX, были переведены на централизованные биржи. Большая часть суммы хранилась в USDT, а значит, либо Tether, либо биржи могут заморозить средства и обратить потери вспять — однако это зависит от того, подтвердит ли CoinCDX факт эксплойта. Tether уже замораживала USDT в предыдущих случаях краж, поэтому то, станет ли эмитент и принимающие платформы блокировать помеченные средства, — одно из главных событий, за которыми стоит следить по ходу расследования.

Движение средств с кошелька злоумышленника также повторило картину предыдущего взлома CoinCDX, когда украденные средства отмывались через централизованные рынки.

В настоящее время CoinCDX подозревается в изъянах в практике безопасности и в фактическом повторном использовании скомпрометированных кошельков, при этом биржа не предоставляет достаточных доказательств безопасности пользовательских средств. Биржа вновь выпустила заявление, в котором говорится, что она не взаимодействовала с этими кошельками, что противоречит ончейн-данным.

Инцидент с CoinCDX — относительно редкое событие, поскольку большинство взломов нацелено на децентрализованные протоколы. Подозреваемый эксплойт против CoinCDX произошел в то время, когда криптопользователи все настороженнее относятся к взломам и случайной компрометации, включая скомпрометированные приватные ключи в результате взлома Railway и потенциальные последствия недавно обнаруженных уязвимостей PHP.

Эксплойт против CoinCDX все еще до конца не понятен. Но если биржа направляла пользовательские средства на скомпрометированный адрес, это дополн подорвет доверие к хранению криптовалюты на биржевых кошельках.

Ончейн-исследование выявило дополнительные связи между кошельками хакера и адресами, использовавшимися CoinCDX, как отметил @DarcyAri — аккаунт, который первым заметил подозрительные переводы.