Индийская криптовалютная биржа CoinDCX признала сбои в системе обработки депозитов после того, как с привязанных к платформе кошельков было переведено почти $16 млн в USDT, отказавшись от прежнего объяснения, согласно которому подозрительная активность касалась только заброшенных адресов.

Признание 22 октября последовало за обвинениями блокчейн-исследователя ZachXBT, который оспорил заявление биржи о том, что отмеченные кошельки были неактивны с момента взлома на $44 млн в июле 2025 года. CoinDCX теперь признает, что депозиты продолжали поступать на эти адреса, а процесс сбора средств в течение некоторого времени не работал.

Компания утверждает, что затронутым клиентам были зачислены средства, что операционные убытки компания погасила за свой счет и что активы, хранящиеся в ее активной инфраструктуре, остаются в безопасности.

Почти $16 млн в USDT прошло через кошельки TRON

Подозрительные переводы начались 21 октября, когда примерно 15,99 млн USDT и 5 784 TRX были переведены с адресов, связанных с CoinDCX, на недавно созданный кошелек в сети TRON.

Специалист по блокчейн-безопасности Дарси первым обратил внимание на эти транзакции, выявив переводы с нескольких депозитных адресов и кошельков, ранее приписывавшихся бирже. Крупнейшая единичная транзакция предполагала вывод 15,82 млн USDT с одного депозитного адреса. Получивший кошелек впоследствии распелил средства по нескольким адресам, при этом значительные суммы в итоге достигли счетов, связанных с Binance, OKX и Gate.

Детальная реконструкция транзакций, проведенная блокчейн-аналитической компанией Bitquery, выявила около 40 затронутых кошельков, включая адреса, которые продолжали обрабатывать депозиты после инцидента в июле 2025 года. К 22 октября примерно $9,63 млн достигли идентифицированных депозитных адресов биржи, а еще $2,28 млн оставались в семи нижестоящих кошельках на момент анализа Bitquery.

ZachXBT оспаривает первоначальное отрицание CoinDCX

CoinDCX первоначально отвергла обвинения, объяснив, что отмеченные адреса были созданы в январе 2025 года, скомпрометированы во время предыдущего инцидента с безопасностью и выведены из эксплуатации. Сооснователь и генеральный директор Сумит Гупта отдельно утверждал, что ни один активный корпоративный или клиентский кошелек не переводил средства на затронутые адреса.

ZachXBT оспорил эту версию, указав на депозитный адрес, начинающийся с TQKJQ, который оставался подключенным к операционной инфраструктуре биржи в течение месяцев после предыдущего взлома. Адрес продолжал получать TRX для оплаты транзакций и переводить депозиты на связанные с CoinDCX хот-кошельки вплоть до апреля и мая 2026 года. Bitquery выявила 88 депозитов на общую сумму около $15,82 млн, накопившихся на адресе с января по март, прежде чем они были выведены в ходе октябрьского инцидента.

В пересмотренном объяснении биржи признается, что пользователи продолжали вносить криптовалюту на устаревшие адреса, несмотря на инструкции прекратить их использование. В CoinDCX был настроен автоматизированный процесс сбора таких депозитов, однако компания признала, что сбор средств в течение некоторого времени не работал, что привело к операционным убыткам.

Механика этого дефицита — знакомая операционная угроза для централизованных бирж: выведенные из эксплуатации на бумаге депозитные адреса часто продолжают получать средства пользователей, а платформы обычно запускают автоматизированный сбор, чтобы аккумулировать «потерянные» депозиты и зачислять их на балансы клиентов. Когда процесс сбора дает сбой, биржа может оказаться должна пользователям за активы, которые она фактически никогда не получала, — именно этот разрыв, как утверждает CoinDCX, компания погасила за свой счет, а не переложила на пользователей.

Впоследствии ZachXBT обвинил биржу в недостаточной прозрачностиhttps://x.com/zachxbt/status/2113264816546873716), раскритиковав ее первоначальное отрицание доказательств транзакций до признания сбоев в обработке. Этот случай также демонстрирует роль, которую публичные блокчейн-данные теперь играют в обеспечении подотчетности: первоначальное отрицание CoinDCX сохранялось до тех пор, пока лежащие в его основе ончейн-доказательства — депозитные адреса, все еще привязанные к инфраструктуре биржи спустя месяцы после взлома, — не были задокументированы и опубликованы независимыми исследователями и аналит компаниями.

CoinDCX заявляет, что клиентам были зачислены средства, а активы в безопасности

Согласно пересмотренной позиции биржи, все клиентские депозиты, отправленные на устаревшие адреса, были зачислены на счета пользователей, даже если соответствующие активы не были успешно собраны. Компания утверждает, что ее текущие операционные кошельки не были скомпрометированы, а клиентские активы остаются защищенными в изолированном холодном хранении. Торговля и другие сервисы биржи продолжают работать в обычном режиме. Для пользователей этот случай также подчеркивает, что депозиты, отправленные на устаревшие адреса, зависят от внутренних процессов биржи как в части зачисления, так и в части возврата средств.

Ранее биржа погасила за свой счет убытки примерно на $44 млн после [взлома в июле 2025 года, когда злоумышленники скомпрометировали внутренний операционный счет, использовавшийся для обеспечения ликвидности. CoinDCX также ранее сталкивалась с вопросами о своих механизмах хранения активов, отвергая обвинения, связанные с переводом активов индийских клиентов зарубежной структуре.

Этот спор происходит на фоне продолжающегося пристального внимания к централизованным криптовалютным биржам в Индии, где реструктуризация WazirX последовала за отдельным взломом на $230 млн, из-за которого клиенты до сих пор ждут выплат. ZachXBT ранее также критиковал KuCoin за работу с сообщениями о кражах криптовалюты, включая утверждения, что депозитные счета биржи замораживались недостаточно быстро.

CoinDCX публично не предоставила полной сверки затронутых депозитных балансов, окончательной суммы операционных убытков или статуса каких-либо усилий по возврату переведенного USDT. Ее заверения о зачислении средств клиентам не были независимо сверены с внутренней бухгалтерской отчетностью биржи. Эти открытые вопросы — полная сверка, окончательная сумма убытков и любые обновления о возврате средств — являются ключевыми раскрытиями, за которыми стоит следить по мере развития ситуации.