Индийская криптобиржа CoinDCX оценила потери на устаревшей кошельковой инфраструктуре в 15,99 млн USDT — приблизительно $16 млн. Компания заявила, что приняла убыток на себя, а клиентские депозитные балансы не пострадали. Средства накопились на ранее скомпрометированном адресе после сбоя автоматического перевода депозитов.
Сумма появилась в подробном объяснении CoinDCX от 25 октября. Это уточнение последствий октябрьского инцидента. Ранее биржа уже признала операционные убытки из-за старых кошельков, но не раскрывала их размер.
По версии компании, после взлома в июле 2025 года соответствующую инфраструктуру вывели из эксплуатации. Однако некоторые пользователи продолжали отправлять криптовалюту на сохранённые адреса вместо актуальных реквизитов из приложения.
Обработку таких поступлений разделили на два процесса: зачисление средств на внутренний баланс клиента и последующий перевод криптовалюты со старого адреса на действующий кошелёк. За второй этап отвечал автоматизированный сервис — sweeper. Его сбой позволил депозитам накопиться на небезопасном адресе.
Сбой объясняет накопление средств, но не раскрывает полностью обстоятельства их последующего вывода. CoinDCX не сообщила, кто стоял за подозрительными операциями и каким способом получил возможность перемещать активы.
В новой хронологии биржа указывает, что заметила необычную активность в своих системах 21 октября 2026 года. На следующий день движение средств обнаружили по блокчейн-данным и сообщениям сообщества. Продолжительность неисправности автоматического сервиса компания не уточнила.
Первоначально руководство CoinDCX отвергало сообщения о новом взломе. Генеральный директор Сумит Гупта называл ситуацию ложной тревогой, а биржа утверждала, что обсуждаемые адреса не использовались после июльского инцидента 2025 года. Тогда ущерб составил около $44 млн.
Эту версию оспорил блокчейн-расследователь ZachXBT. По его утверждению, адрес с началом TQKJQ продолжал обслуживать поставщика ликвидности и переводить депозиты на действующий горячий кошелёк CoinDCX ещё в апреле–мае 2026 года.
Дополнительные сведения опубликовала аналитическая компания Bitquery. По её исследованию, 21 октября из 40 связанных с CoinDCX кошельков вывели около 15,99 млн USDT. Примерно 15,82 млн USDT приходились на один адрес, где оставались 88 ранее поступивших депозитов.
Bitquery также обнаружила операции по сбору депозитов через часть затронутых адресов непосредственно в день вывода средств. Эти наблюдения противоречат первоначальному описанию инфраструктуры как полностью неиспользуемой. При этом исследователи подчёркивают, что блокчейн-записи не показывают, как посторонний получил доступ к ключам.
Согласно обновлению Bitquery, 22 октября Tether заморозила около 2,21 млн USDT на девяти адресах. Заморозка ограничивает движение токенов, но сама по себе не подтверждает их возврат CoinDCX.
Биржа утверждает, что действующие кошельки, торговля и вывод средств продолжили работать без перерыва. Она также признала, что могла оперативнее информировать пользователей, и пообещала усилить контроль за остаточной инфраструктурой.
Теперь размер заявленного убытка известен. Открытыми остаются причины длительного хранения депозитов на старых адресах, способ получения доступа к средствам и результаты их возврата. Заявление о сохранности клиентских балансов отражает позицию CoinDCX, а не независимую проверку её внутреннего учёта.