區塊鏈調查人員正公開質疑 CoinDCX 對一起所報導 1,600 萬美元安全事件的說法，指控這家印度加密貨幣交易所對 2026 年 10 月 22 日被標記的可疑錢包活動的來源與時間作出不實陳述。爭議焦點是一個基於 TRON 的充值地址，以及在其已披露的 2025 年 7 月駭客事件後經該地址流動的資金是否獲得妥善入帳，或是在未告知用戶的情況下被悄悄歸集。

Protos 亦報導了相關說法。

調查人員的指控

調查員 Darcy 與安全研究組織 Salus 合作，標記出約 1,600 萬美元的可疑資金流動，涉及被認為與 CoinDCX 託管基礎設施相關的地址。

核心錢包是一個以字串 TQKJQ 識別的 TRON 地址。鏈上調查員 ZachXBT 表示，該充值地址在 CoinDCX 公開披露的 2025 年 7 月安全事件（交易所此前已承認）之後，仍被一家流動性提供商持續使用長達 10 個月。他還表示，該地址最遲於 2026 年 4 月和 5 月收取了 Gas 費用，並將用戶存款歸集至 CoinDCX 目前的公開熱錢包。

對於關注這場爭議的讀者而言，相關術語相當重要：充值地址用於接收客戶存入的資金；熱錢包保存交易所用於日常提款的餘額；Gas 是區塊鏈處理轉帳時收取的費用。歸集（sweep）是指將資金從一個地址整合至另一個地址，而流動性提供商則是為交易所市場提供交易深度的外部機構。

ZachXBT 在 X 上發布以下訊息，直接向 CoinDCX 提出質疑：

CoinDCX deposit address TQKJQ was in use by a LP for 10 months after your July 2025 incident and swept user deposits + received gas as recent as April & May 2026 to your current public hot wallet. Meaning $15.8M in user deposits was unaccounted for by your team. Why are Indian… pic.twitter.com/S8WYtGNIjz

— ZachXBT (@zachxbt) October 22, 2026

該貼文可透過 X 及[此 X 直接連結](https://x.com/zachxbt/status/2113191832561778974查看。

ZachXBT 稱有 1,580 萬美元用戶存款未被 CoinDCX 團隊入帳。該數字代表他對 TQKJQ 錢包活動的鏈上解讀，尚未經獨立審計或第三方司法鑑證審查確認。

尚未經證實的部分

核心指控——即 2026 年 10 月的資金流動代表新一波或持續進行的駭客攻擊，而非與先前已遭入侵錢包相關的活動——仍存在爭議且未經證實。現有證據中並未包含經獨立驗證的區塊瀏覽器交易紀錄，以證明相關錢包的持有權歸屬。公開帳本記錄地址之間的轉帳，但無法辨識誰控制該錢包；歸屬認定需依靠交易所、其交易對手或司法鑑證審查者的確認。

CoinDCX 並未針對 2026 年 10 月的資金流動發布司法鑑證覆盤報告或監管申報文件。因此，現有證據無法證實發生了新的駭客事件，也無法證實 CoinDCX 蓄意誤導用戶。

CoinDCX 的回應

CoinDCX 公開形容有關該地址與交易的說法具誤導性。該交易所表示，被標記的活動涉及 2025 年初建立的地址，這些地址在 2025 年 7 月安全事件中遭入侵後已停用，並表示已建議用戶勿向遭入侵的錢包地址存款。

在後續聲明中，CoinDCX 表示 TQKJQ 錢包活動與那些 2025 年初的地址有關，並堅稱調查員所指出的鏈上資金流動可歸因於先前已披露的事件，而非新的入侵。

CoinDCX 的聲明可透過其 X 帳號及後續貼文查閱。該交易所並未提供按時間排序的交易對帳，也未公開 ZachXBT 所指的流動性提供商身分。

雙方分歧主要在於時間點與資金流向。CoinDCX 的說法將相關入侵定於 2025 年 7 月，並將受影響地址視為事件後已停用。ZachXBT 的鏈上解讀則顯示資金流動、Gas 轉帳及熱錢包互動最遲持續至 2026 年 5 月。若該解讀屬實，交易所的公開披露便未涵蓋該錢包完整的營運生命週期。

雙方均未能以可驗證的公開文件解決這一具體事實爭議。

Coinbase 近期獲印度競爭監管機構 CCI 核准收購 CoinDCX 股權，使這起事件更具分量，因為機構合作夥伴將在持續進行的盡職調查中審視 CoinDCX 的安全狀況與披露標準。有關核准的更多細節可參閱 Coinbase 收購 CoinDCX 股權獲准的報導。

CoinDCX 用戶關注的問題

對於 2025 年及 2026 年間在 CoinDCX 持有 USDT 或其他資的用戶而言，這場爭議引發了托管與入帳問題，而交易所並未在交易層級予以說明。USDT 是一種在包括 TRON 在內的多條公共區塊鏈上發行的美元掛鉤穩定幣。CoinDCX 的「請勿存款」公告顯示其知道特定錢包地址已遭入侵，但公開紀錄並未顯示在這些地址持有資金的用戶是否曾被個別通知或獲得補償。

安全事件披露通常會列出受影響的錢包地址、提供約略的資金曝險估計，並說明入侵與應變的時間表。若 TQKJQ 地址如 ZachXBT 的分析所言，在 2026 年 4 月和 5 月持續將用戶存款轉入 CoinDCX 的熱錢包，那麼在該期間存款的用戶可能已將資金存入一個被交易所內部歸類為已遭入侵的錢包。

CoinDCX 公開的通訊內容並未說明內部路由控制是否保護了這些用戶，或他們是否面臨額外風險。

更廣泛的市場氛圍也為透明度問題增添了壓力。恐懼與貪婪指數報 68，處於「貪婪」區間，顯示在所述時期交易所用戶的風險承受度較高而非更謹慎。在這種環境下，中心化交易所的披露缺失一旦曝光，可能造成重大聲譽後果，因為用戶在接收到資訊時可能較缺乏戒心。該指數由 Alternative.me 發布。

解決爭議所需的證據

相關鏈上紀錄可在 TRON 的帳本上公開查閱。完整解決這場爭議需要調查員與交易所均未完整公布的幾項資訊。

包括針對特定 TQKJQ 地址的可驗證 TRON 瀏覽器紀錄，顯示其完整交易歷史、時間戳、對手方地址與 USDT 金額。調查員還需查明 ZachXBT 所指流動性提供商的身分及其合約關係。最後，CoinDCX 需要確認或具體反駁 ZachXBT 貼文中所述 2026 年 4 月和 5 月轉入其熱錢包的轉帳。

最關鍵的未決問題是，CoinDCX 目前的熱錢包是否在 2025 年 7 月之後收到來自 TQKJQ 的資金。若鏈上數據證實這些轉帳，CoinDCX 有關地址在 2025 年 7 月事件後已停用的說法在事實上便不完整。

另一個未決問題是，印度金融監管機構是否曾接獲有關 2025 年 7 月入侵事件或 2026 年 10 月資金流動的事件報告。現有證據中未發現任何監管申報或執法行動。

中心化交易所如何處理熱錢包託管與安全事件披露，也與評估這場爭議相關。比較中心化金融聚合器與去中心化交易所協議，可為不同託管模式提供背景脈絡；相關報導可參閱這篇比較文章。

現有證據無法證實 CoinDCX 說謊或發生了新的駭客事件。但確實證實了 CoinDCX 所述的錢包停用時間表，與 ZachXBT 所報告的 2026 年 4 月和 5 月鏈上活動之間存在未決的差異。

在 CoinDCX 提供交易層級的對帳或第三方審計機構發布司法鑑證報告之前，用戶與交易對手方在缺乏完整公開資訊的情況下，評估圍繞這些錢包的託管與披露風險。