区块链调查人员正公开质疑 CoinDCX 对一起所称 1600 万美元安全事件的陈述，称这家印度加密货币交易所歪曲了 2026 年 10 月 22 日被标记的可疑钱包活动的来源和时间。争议围绕一个基于 TRON 的充值地址展开，焦点在于 2025 年 7 月已披露的黑客事件后经该地址转移的资金是否得到了妥善入账，还是在未告知用户的情况下被悄然归集。

Protos 也报道了这些说法。

调查人员的指控

与安全研究团队 Salus 合作的调查人员 Darcy 标记了约 1600 万美元的可疑资金流动，这些流动来自据信与 CoinDCX 托管基础设施相关联的地址。

核心钱包是一个以字符串 TQKJQ 标识的基于 TRON 的地址。链上调查人员 ZachXBT 表示，在 CoinDCX 已公开披露的 2025 年 7 月安全事件（该交易所此前已承认）之后，该充值地址仍被一家流动性提供商持续使用长达 10 个月。他还表示，该地址最迟在 2026 年 4 月和 5 月仍接收 gas 并将用户充值归集至 CoinDCX 当前的公开热钱包。

对于关注这一争议的读者而言，相关术语很重要：充值地址用于接收客户的入金，热钱包保存交易所用于日常提款的余额，而 gas 是区块链处理转账所收取的费用。归集（sweep）是将资金从一个地址合并到另一个地址，而流动性提供商则是为交易所市场提供交易深度的外部机构。

ZachXBT 在 X 上发布了以下消息，直接指向 CoinDCX：

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

该帖子可通过 X 和此 X 直接链接 查看。

ZachXBT 称有 1580 万美元用户充值未被 CoinDCX 团队入账。该数字代表他对 TQKJQ 钱包活动的链上解读，尚未经过独立审计或第三方法证审查的确认。

尚未核实的内容

核心指控——即 2026 年 10 月的这些资金流动代表一次新的或持续进行的黑客攻击，而非与此前已遭入侵的钱包相关的活动——仍存在争议且未经证实。现有证据中并未包含能证明相关钱包所有权归属的、经独立核实的区块浏览器交易数据集。公共账本只记录地址之间的转账，并不能识别谁控制某个钱包；归属认定需要交易所、其交易对手或法证审查人员的确认。

CoinDCX 尚未发布针对 2026 年 10 月资金流动的法证复盘报告或监管申报文件。因此，现有证据既不能证明发生了新的黑客攻击，也不能证明 CoinDCX 有意误导用户。

CoinDCX 的回应

CoinDCX 公开表示，有关这些地址和交易的说法具有误导性。该交易所称，被标记的活动涉及 2025 年初创建的地址，这些地址在 2025 年 7 月安全事件中遭入侵，随后已被弃用。它还表示，已建议用户不要向这些被入侵的钱包地址充值。

在后续声明中，CoinDCX 表示 TQKJQ 钱包活动与那些 2025 年初的地址相关，并坚持认为调查人员标记的链上资金流动应归因于此前已披露的事件，而非新的入侵。

CoinDCX 的声明可通过其 X 账户 和后续帖子 查看。该交易所尚未提供按日期排序的交易对账，也未公开披露 ZachXBT 所指的流动性提供商的身份。

双方分歧主要在于时间线和资金流向。CoinDCX 的说法将相关入侵定于 2025 年 7 月，并将受影响地址视为事件后已弃用。而 ZachXBT 的链上解读则将资金流动、gas 转账和热钱包交互的时间定在最近的 2026 年 5 月。如果这一解读准确，则该交易所的公开披露将未能覆盖该钱包完整运营生命周期。

双方均未以可核实的公开文件解决这一具体的事实争议。

Coinbase 近期获得 CCI（印度竞争监管机构）批准收购 CoinDCX 股份，使该事件更具分量，因为机构合作伙伴将在持续尽职调查中审视 CoinDCX 的安全态势和披露标准。有关该批准的更多详情，请参阅关于 Coinbase 收购 CoinDCX 股份获批的报道。

CoinDCX 用户面临的问题

对于 2025 年和 2026 年在 CoinDCX 持有 USDT 或其他资产的用户而言，这一争议提出了该交易所在交易层面尚未回应的托管和账目问题。USDT 是一种锚定美元的稳定币，发行于包括 TRON 在内的多条公链上。CoinDCX 的“请勿充值”提示表明其知道特定钱包地址已遭入侵。然而，公开记录并未显示持有这些地址资金的用户是否被单独通知或获得赔付。

安全事件披露通常会指明受影响的钱包地址、提供资金敞口的大致估计，并列出入侵与应对的时间线。如果 TQKJQ 地址如 ZachXBT 的分析所示，在 2026 年 4 月和 5 月仍继续将用户充值路由至 CoinDCX 的热钱包，那么在此期间充值的用户可能已将资金发送至被该交易所内部归类为已遭入侵的钱包。

CoinDCX 公开可得的沟通内容并未说明内部路由控制是否保护了这些用户，或他们是否面临额外风险。

更广泛的市场背景给透明度问题增添了压力。恐惧与贪婪指数报 68，处于“贪婪”区间，表明在所述时期交易所用户的风险容忍度更高而非更谨慎。在这种环境下，中心化交易所的披露失误一旦曝光，可能造成重大声誉后果，因为当信息到达时用户的戒备心可能较低。该指数由 Alternative.me 发布。

解决争议所需的证据

相关链上记录在 TRON 账本上可公开查阅。要彻底解决这一争议，需要调查人员和交易所均未完整公布的若干信息。

其中包括针对特定 TQKJQ 地址的可核实 TRON 浏览器条目，显示其完整交易历史、时间戳、对手方地址和 USDT 金额。调查人员还需查明 ZachXBT 所引述的流动性提供商的身份及其合同关系。最后，CoinDCX 需要确认或具体反驳 ZachXBT 帖子中所述的 2026 年 4 月和 5 月向其热钱包的转账。

最关键的未决问题是，CoinDCX 当前的热钱包是否在 2025 年 7 月之后从 TQKJQ 接收过资金。如果链上数据证实这些转账，则 CoinDCX 关于这些地址在 2025 年 7 月事件后被弃用的说法在事实上就是不完整的。

另一个未决问题是，印度金融监管机构是否收到了有关 2025 年 7 月入侵事件或 2026 年 10 月资金流动的事件报告，现有证据中未发现任何监管申报或执法行动。

中心化交易所如何处理热钱包托管和安全事件披露，也与评估这一争议相关。中心化金融聚合器与去中心化交易所协议之间的比较可为不同托管模式提供背景；相关主题的报道见[此对比文章https://defiliban.io/changenow-vs-defi-swaps-2026-cefi-aggregator-vs-dex-protocols-compared)。

现有证据并不能证明 CoinDCX 说谎或发生了新的黑客攻击。它确实揭示了 CoinDCX 所述的钱包弃用时间线与 ZachXBT 报告的 2026 年 4 月和 5 月链上活动之间存在一个未解决的出入。

在 CoinDCX 提供交易层面对账或第三方审计机构发布法证报告之前，用户和交易对手方都无法获得围绕这些钱包的托管与披露问题的完整公开信息。