Индийская криптобиржа CoinDCX сообщила о потере примерно 15,99 млн USDT в результате вывода средств из инфраструктуры старого кошелька, которую компания перестала использовать в 2025 году. CoinDCX заявила, что полностью покроет убыток за свой счёт и что клиентам не придётся нести издержки.

По данным биржи, её активные кошельки и торговые системы не пострадали. Средства клиентов хранятся в отдельных холодных кошельках, а торговля, депозиты и выводы продолжались без остановки. CoinDCX сообщила, что криптовалютные балансы клиентов в безопасности, не затронуты и полностью учтены.

Инцидент также подчёркивает риск, выходящий за рамки первоначального взлома: устаревшие адреса для депозита могут оставаться действующими каналами, пока пользователи продолжают отправлять на них средства, а накопленные там активы находятся за пределами основного защищённого кошелька биржи до момента их перевода.

Как произошёл инцидент с кошельком CoinDCX

CoinDCX сообщила, что впервые обнаружила необычную активность в своих системах 21 октября 2026 года. Компания заявила, что действовавшие меры контроля не позволили инциденту затронуть активные кошельки и торговые системы.

Update on the on-chain Wallet Activity – 21st October 2026 Our full update on the recent on-chain activity, what happened, and what it means for you. User funds remain safe, and trading and withdrawals continue as usual. Read the full update: — CoinDCX (@CoinDCX) October 25, 202

На следующий день биржа выявила нерегулярные движения средств в данных блокчейна и получила соответствующие сообщения от пользователей. Последовавшее расследование показало, что активность затронула устаревшую конфигурацию кошельков, содержавшую ранее неизвестные уязвимости.

Инфраструктура кошельков была скомпрометирована в ходе инцидента безопасности 19 июля 2025 года. CoinDCX сообщила, что прекратила использовать эту инфраструктуру после того взлома. Однако некоторые пользователи продолжали отправлять депозиты на старые адреса вместо обновлённых адресов, отображаемых в приложении CoinDCX.

Биржа заявила, что продолжала обрабатывать эти депозиты, чтобы пользователи не потеряли доступ к своим средствам. Процесс внесения депозитов состоял из двух отдельных этапов. Сначала средства зачислялись на счёт пользователя после их поступления. Затем отдельный автоматический сервис переводил («сгребал») эти средства на основной защищённый кошелёк биржи.

CoinDCX сообщила, что этот сервис перевода в течение некоторого времени не работал. В результате депозиты накапливались на старом адресе и оказались уязвимыми, когда произошла описанная активность. Компания не раскрыла полный метод, использованный для вывода средств из кошелька, и не установила responsible сторону. Эти нераскрытые детали остаются ключевыми для отслеживания дополнительных средств.

Обновление CoinDCX от 25 октября доступно на официальном сайте CoinDCX, а заявление компании также было опубликовано в X.

Tether заморозил часть средств

Согласно сообщениям от 24 и 25 октября, Tether внёс в чёрный список кошельки, связанные с выводом средств. Tether — эмитент USDT — может блокировать кошельки, хранящие его токен. Поскольку этот механизм действует на уровне токена, он может обездвижить USDT даже после того, как средства покинули инфраструктуру биржи.

По данным блокчейн-аналитической компании AMLBot, было заморожено около 2,2 млн долларов. Эта сумма составляет примерно 13,8% заявленного убытка CoinDCX. Заморозка не позволяет средствам перемещаться, но не означает, что они возвращены. CoinDCX потребуется подтвердить любое возвращение средств, а оставшуюся часть ещё предстоит отследить.

CoinDCX сообщила, что проработала 72 часа без простоев, лимитов на вывод и сбоев в торговле. Компания также признала, что «могла бы действовать более проактивно» при информировании об инциденте, и заявила, что подождала с публикацией обновления, пока не получила полную картину ситуации.

Биржа заявила, что планирует усилить монитор и меры контроля в отношении устаревших систем. Она также будет регулярно напоминать пользователям, что старые адреса для депозита хранятся лишь ограниченное время. Для читателей, следящих за делом, ключевыми остаются вопросы: можно ли обнаружить или заморозить больше из оставшихся средств, будет ли когда-нибудь раскрыт нераскрытый метод вывода и подтвердит ли CoinDCX какое-либо возвращение средств.

В обновлении от 25 октября CoinDCX посоветовала пользователям проверять актуальный адрес для депозита в приложении или на сайте перед каждым пополнением. Биржа предупредила, что отправка средств на старые адреса крайне рискованна и что биржи, как правило, не несут ответственности за активы, отправленные на них. Этот случай наглядно демонстрирует данное предупреждение: когда автоматический перевод прекратился, депозиты, отправленные на устаревшие адреса, остались на старом адресе и оказались уязвимыми.

Первоначальный отчёт был опубликован изданием Blockonomi.