Крупнейшая криптобиржа Индии CoinDCX отрицает, что ее активные кошельки были скомпрометированы, после того как блокчейн-исследователи обнаружили около 16 млн долларов подозрительных выводов средств с адресов, связанных с платформой.

Биржа заявила, что отмеченные транзакции касались старых адресов кошельков, скомпрометированных в ходе взлома в июле 2025 года, и с тех пор не использовались. Однако как минимум один ончейн-исследователь возразил, что один из этих адресов продолжал принимать депозиты и взаимодействовать с текущим кошельком CoinDCX вплоть до 2026 года. Именно это противоречие делает произошедшее большим, чем обычная ложная тревога: все зависит от того, были ли адреса, которые биржа называет выведенными из эксплуатации, по-прежнему подключены к ее действующему депозитному потоку — это разница между хакерами, повторно использующими мертвые адреса, и операционным сбоем на стороне платформы.

CoinDCX признала, что временный сбой в ее процессе переноса депозитов с выведенных из эксплуатации адресов привел к операционным потерям, которые она поглотила после компенсации пострадавшим пользователям.

"Транзакции, упомянутые в недавних утверждениях, касаются старых адресов кошельков, созданных в январе 2025 года. Эти адреса были скомпрометированы в июле 2025 года и с тех пор не использовались CoinDCX. Отмеченная сейчас активность связана с этими старыми адресами и не имеет никакого отношения к CoinDCX", — сообщил представитель биржи в интервью CoinDesk. "Текущие централизованные и пользовательские адреса CoinDCX не затронуты, и никакие средства CoinDCX с активных кошельков не были скомпрометированы".

Как возникли подозрения

Опасения возникли в среду, когда пользователь X по имени Дарси обратил внимание на крупный вывод средств из горячего кошелька CoinDCX и нескольких ее депозитных адресов. Переводы составили около 16 млн долларов в USDT, стейблкоине, привязанном к доллару, и в токене TRX сети Tron.

Каждый пользователь CoinDCX получает персональный депозитный адрес — уникальную строку символов для отправки криптовалюты на биржу. Платформа регулярно "подметает" (sweeps) эти депозиты, то есть перемещает их в собственные основные кошельки, чтобы все средства находились в одном контролируемом ею месте. Часть денег направляется в горячий кошелек — подключенный к интернету кошелек, используемый для повседневных выводов, — а остальное перемещается в холодные кошельки, которые хранятся офлайн. Сбор депозитов — стандартная практика централизованных бирж, поэтому аномалии в этом потоке обычно воспринимаются как потенциальные инциденты безопасности, а не как рутинная внутренняя работа.

По словам Дарси, все отмеченные средства были отправлены на один адрес в сети Tron, причем крупнейшая единичная транзакция составила 15 819 002 USDT Затем этот адрес разделил деньги между несколькими разными кошельками. В посте вывод средств был помечен как предполагаемая кража, что вызвало опасения нового взлома биржи.

CoinDCX уже подвергалась атаке в июле 2025 года, потеряв в том инциденте около 44 млн долларов.

Гендиректор называет это ложной тревогой; исследователь возражает

Генеральный директор CoinDCX Сумит Гупта возразил в X, заявив, что хакеры из июля 2025 года, по-видимому, повторно используют старые адреса кошельков, и назвал произошедшее ложной тревогой. Иными словами, позиция биржи такова: она отказалась от этих адресов после взлома, и именно хакеры продолжают ими пользоваться.

ZachXBT, известный ончейн-исследователь, оспорил это утверждение, заявив, что как минимум один из этих адресов, помеченный как TQKJQ, все еще использовался.

"Депозитный адрес CoinDCX TQKJQ использовался провайдером ликвидности в течение 10 месяцев после инцидента в июле 2025 года, собирал пользовательские депозиты и получал газ вплоть до апреля и мая 2026 года на ваш текущий публичный горячий кошелек", — сказал он.

Проще говоря, ZachXBT сообщил, что этот адрес продолжал собирать депозиты клиентов и переводить их в текущий кошелек CoinDCX вплоть до этой весны. LP, или провайдер ликвидности, — это фирма, поставляющая бирже заявки на покупку и продажу, а газ — это небольшая комиссия за перемещение токенов в блокчейне. Если эта картина подтвердится, она размывает четкую границу, которую биржа проводит между выведенной из эксплуатации и действующей инфраструктурой, — суть спора.

Биржа признает сбой при очистке

На вопрос, не был ли старый адрес оставлен без присмотра, продолжая при этом проводить операции со средствами, CoinDCX ответила, что после взлома в июле 2025 года предупреждала пользователей не отправлять средства на скомпрометированные адреса. Биржа теперь называет эти адреса "устаревшими" (deprecated), то есть выведенными из эксплуатации.

"Несмотря на наши уведомления в прошлом, некоторые пользователи продолжали отправлять средства на устаревшие депозитные адреса вместо актуальных", — сказал представитель.

Биржа заявила, что процесс сбора депозитов как раз предназначен для перехвата таких переводов, но в течение некоторого времени он не работал. CoinDCX сообщила, что компенсировала всем пострадавшим пользователям. Она добавила, что активы клиентов находятся в холодных кошельках и текущие адреса не были затронуты. Торговля продолжается в обычном режиме. Ключевой вопрос — прояснят ли дальнейшие ончейн-данные, чья версия верна, и как CoinDCX объяснит, почему устаревший адрес продолжал собирать депозиты спустя долгое время после инцидента в июле 2025 года. Для вкладчиков практический урок из заявлений самой биржи таков: отправляйте средства только на актуальный адрес, который показывает платформа, поскольку переводы на выведенные из эксплуатации адреса полностью зависят от исправной работы процесса очистки.