Un ancien portefeuille CoinDCX continuait de recevoir des dépôts, puis 16 M$ ont disparu

Ces portefeuilles étaient censés appartenir au passé de CoinDCX. Après une faille de sécurité en juillet 2025, la plateforme d'échange indienne avait remplacé l'infrastructure compromise et demandé à ses clients d'utiliser de nouvelles adresses de dépôt. Certains clients ont toutefois continué à envoyer des fonds aux anciennes adresses, et l'entreprise a continué à créditer leurs comptes tandis qu'un service distinct déplaçait les pièces. En octobre, cette seconde étape a échoué.

Une adresse de cryptomonnaie n'expire pas lorsqu'une plateforme d'échange la retire. Quelqu'un peut l'enregistrer dans un formulaire de retrait, la copier depuis un ancien message ou automatiser des transferts vers celle-ci pendant des mois. La blockchain acceptera la transaction même si l'application actuelle de la plateforme d'échange affiche une destination différente. CoinDCX a choisi de reconnaître ces dépôts pour ses clients et de balayer les pièces réelles vers une garde plus récente. Ce choix a protégé les personnes contre la perte d'un dépôt effectué par erreur tout en laissant un chemin à travers l'ancienne infrastructure.

L'explication de l'entreprise du 25 octobre indique que ce chemin s'est rompu. Elle n'établit pas chaque étape du transfert non autorisé, et un lecteur extérieur ne peut pas voir le registre interne de la plateforme d'échange. Le résultat visible est une défaillance de garde particulièrement instructive : les clients pouvaient avoir un solde crédité dans l'application tandis que les USDT déposés correspondants restaient dans une adresse déjà considérée comme non sécurisée. La manière dont cet écart a été détecté, financé et comblé importe au-delà de la perte annoncée.

L'adresse retirée avait encore un rôle

CoinDCX affirme que des clients ont continué à déposer vers des adresses retirées après l'incident de juillet 2025 malgré les consignes d'utiliser les nouvelles. Lorsqu'un transfert arrivait, la plateforme d'échange créditait immédiatement le portefeuille du client. Un balayeur automatisé distinct était censé déplacer la cryptomonnaie de l'ancienne adresse vers un portefeuille sécurisé. Le client n'avait pas à attendre ce second transfert pour utiliser le solde crédité.

La conception comporte un compromis. Si CoinDCX refusait de reconnaître un transfert vers une ancienne adresse, un client ayant réutilisé des instructions enregistrées pourrait sembler perdre de l'argent. Créditer d'abord donne rapidement un solde au compte de la personne, mais l'entreprise assume la responsabilité de déplacer ou de remplacer les pièces réelles. Si le balayage échoue, les passifs dans les livres de la plateforme d'échange peuvent augmenter alors même que les pièces restent dans des portefeuilles vulnérables.

Qu'une ancienne adresse soit « obsolète » peut donc signifier deux choses différentes. Elle peut ne plus être affichée aux nouveaux utilisateurs ni destinée aux opérations courantes. Elle peut toujours recevoir des dépôts blockchain, être surveillée par la plateforme d'échange et être utilisée dans un processus de récupération. La controverse initiale du 22 octobre reposait sur cette distinction. Les dirigeants de CoinDCX affirmaient que les adresses étaient anciennes, tandis que les enquêteurs soulignaient des mouvements continus entre celles-ci et les portefeuilles opérationnels de la plateforme d'échange. L'explication ultérieure de l'entreprise a reconnu qu'un processus continuait à traiter les dépôts à ces adresses.

Il est tentant de qualifier chaque mouvement passant par une adresse retirée d'usage actif ordinaire, ou de considérer « retirée » comme la preuve qu'aucun argent ne pourrait y arriver. Aucune de ces descriptions ne rend compte de l'arrangement que CoinDCX a désormais décrit. Les adresses n'étaient pas les destinations que son application voulait que les utilisateurs choisissent. Elles étaient toujours surveillées, les clients étaient crédités pour les dépôts et la plateforme d'échange maintenait un service destiné à transférer les actifs plus loin. Un tel service doit fonctionner de manière cohérente si l'entreprise assume le risque de perte du client.

L'argent s'est accumulé pendant que le balayage échouait

CoinDCX affirme que son service de balayage automatisé a échoué « pendant une période particulière », permettant aux dépôts de s'accumuler. Elle n'a pas précisé quand la défaillance a commencé, si des alertes ont été déclenchées, combien de clients étaient concernés ou pourquoi un important solde non transféré n'a pas déclenché d'intervention avant le 21 octobre. Ces détails manquants rendent difficile de juger si la faiblesse a duré des heures, des semaines ou plus longtemps.

L'étude des transactions TRON de Bitquery a recensé 40 portefeuilles vidés et a attribué 15,82 millions d'USDT sur les 15,99 millions au total à une seule adresse de dépôt. Son analyse indiquait que la grande adresse contenait 88 dépôts provenant d'un seul déposant, dont aucun n'avait été transféré depuis mars. Si l'attribution est correcte, l'intervalle entre ces dépôts et le retrait d'octobre était bien plus long que le court délai qu'un client pourrait attendre d'un balayage automatisé. La blockchain peut montrer les transferts et les soldes ; elle ne peut pas à elle seule montrer si chaque dépôt a été crédité à un client ou comment une alerte de surveillance interne a été traitée.

Bitquery a également examiné les petits paiements en TRX nécessaires pour déplacer des USDT sur TRON. Elle a trouvé des rechargements de frais vers les adresses de dépôt affectées, suivis de transferts de routine, y compris une activité le 21 octobre. Une plateforme d'échange doit alimenter une adresse avec le jeton natif du réseau lorsqu'elle veut que cette adresse envoie des USDT. Le schéma répété aide à expliquer pourquoi les enquêteurs ont contesté l'affirmation selon laquelle les portefeuilles avaient simplement été abandonnés. Il n'identifie pas qui a obtenu les moyens de les vider ni ne prouve la source originale de chaque dépôt.

CoinDCX affirme avoir remarqué une activité inhabituelle dans ses systèmes le 21 octobre et avoir constaté des mouvements onchain irréguliers le lendemain, les signalements de sa communauté ayant déclenché une enquête plus approfondie. L'entreprise affirme que des contrôles immédiats ont empêché un impact sur les portefeuilles actifs et l'infrastructure de trading. Sa divulgation du 25 octobre a ensuite confirmé la perte de 15,99 millions d'USDT. Ce sont les descriptions par l'entreprise de la détection et du confinement ; la chaîne publique fournit le registre des transactions, mais pas les journaux d'événements internes de l'entreprise.

Un solde client et un solde de portefeuille sont différents

Un client d'une plateforme d'échange voit généralement une écriture de compte, et non une pièce particulière se trouvant dans une adresse blockchain séparée qui lui serait exclusivement attribuée. La politique déclarée de CoinDCX pour les anciennes adresses créditait le compte de l'utilisateur dès l'arrivée du dépôt. La plateforme d'échange devait alors au client le montant indiqué, que son balayage séparé ait été retardé ou non. Lorsque les actifs ont disparu de l'ancien portefeuille, la perte pouvait être supportée par l'entreprise si elle fournissait des fonds de remplacement.

CoinDCX affirme avoir fait exactement cela.Son compte confirmé de perteoss indique que l'entreprise a absorbé les 15,99 millions d'USDT et maintient que les soldes des clients, les portefeuilles actifs et les opérations n'ont pas été affectés. C'est une distinction importante par rapport à une plateforme d'échange qui répercuterait les pertes sur les déposants ou suspendrait les retraits. C'est aussi une affirmation qui mérite un suivi avec des données de rapprochement, de réserves et de retraits, car un observateur extérieur ne peut pas inspecter tous les passifs clients simplement en examinant les adresses impliquées dans le drainage.

Le compte de la plateforme d’échange ne rend pas les fonds manquants imaginaires. Un client peut toujours avoir le solde crédité complet alors que l’entreprise a payé pour un vol ou une perte opérationnelle. Financièrement, l’entreprise doit combler l’écart à partir de ses propres actifs ou récupérer les jetons volés. Sa capacité à le faire doit être évaluée à partir de divulgations financières datées et de preuves de réserves, ainsi que de la question de savoir si les retraits continuent d’être réglés, plutôt qu’à partir de la seule phrase « les fonds sont en sécurité ».

CoinDCX avait précédemment annoncé un fonds de protection des clients avec une allocation initiale d’environ 6 millions de dollars en 2024. L’existence de ce programme ne montre pas qu’il a financé la perte d’octobre 2026, qui est supérieure à l’allocation initiale. L’entreprise affirme avoir absorbé le déficit. Un suivi transparent identifierait si le remplacement provient d’actifs de trésorerie ordinaires, d’une réserve dédiée, d’une assurance ou de récupérations, sans demander aux clients de déduire une source de financement à partir du nom d’un ancien programme.

Les clients qui ont enregistré une ancienne adresse doivent mettre à jour leurs instructions de paiement. Sur une chaîne publique, l’expéditeur peut toujours diffuser vers l’ancienne destination, et le réseau ne saura pas ce que l’application CoinDCX recommande actuellement. La plateforme d’échange indique que la prise en charge des adresses obsolètes est temporaire. Si cette prise en charge prend fin, le traitement d’un dépôt accidentel ultérieur pourrait changer. L’adresse actuelle dans l’application d’une plateforme d’échange est la seule sur laquelle un client devrait compter pour un nouveau transfert, avec vérification de l’actif et du réseau au moment de l’envoi.

Retracer l’USDT n’identifie pas le voleur

Bitquery a retracé environ 9,63 millions d’USDT via des portefeuilles intermédiaires jusqu’à des adresses de dépôt qu’il a associées à OKX, Binance et Gate dans les 18 heures suivant le transfert principal. Un paiement arrivant à une adresse associée à une plateforme d’échange peut donner aux enquêteurs un lieu où demander des dossiers ou une coopération. Ce n’est pas la preuve que la plateforme d’échange nommée a commis le vol, l’a approuvé ou détient encore tout l’argent. L’attribution des adresses de service peut également être révisée.

La même étude indique que Tether a gelé environ 2,21 millions d’USDT sur neuf portefeuilles le 22 octobre. Un gel peut empêcher ces jetons particuliers de bouger, mais ce n’est pas la même chose qu’une restitution à CoinDCX. Un remboursement pourrait nécessiter une procédure judiciaire, une coordination avec l’émetteur et une confirmation de propriété. La déclaration initiale de l’entreprise n’a pas annoncé d’actifs récupérés. Rapporter la somme gelée comme de l’argent déjà restitué surestimerait ce qui est connu.

Le dossier public révèle la taille et le parcours des transactions beaucoup plus facilement que la méthode de compromission. CoinDCX a fait référence à des vulnérabilités inconnues dans son infrastructure obsolète. Il n’a pas précisé si la perte d’octobre provenait de clés exposées en 2025, d’une défaillance d’accès ultérieure ou d’une autre voie. Bitquery a explicitement déclaré que son analyse ne pouvait pas montrer comment la personne déplaçant les fonds avait obtenu les clés. La cause technique précise nécessite un compte rendu post-incident de l’opérateur, idéalement avec un examen indépendant.

Une adresse détenant 15,82 millions d’USDT rend le timing particulièrement déterminant. Si les jetons avaient été balayés au fur et à mesure de leur arrivée, ce solde ne serait pas resté à cette adresse au moment du drainage. Un tel contrefactuel ne prouve pas que le vol aurait été entièrement évité, car le portefeuille de destination et les contrôles d’accès compteraient aussi. Il explique pourquoi l’échec du balayeur n’est pas un détail périphérique : il a déterminé combien de valeur se trouvait dans le chemin compromis.

La violation de 2025 était un incident différent

Le rapport d’incident de juillet 2025 décrivait une perte d’environ 44 millions de dollars provenant d’un compte opérationnel interne utilisé pour fournir de la liquidité sur une plateforme d’échange partenaire. CoinDCX a déclaré que les actifs des clients dans des portefeuilles froids séparés n’étaient pas affectés et qu’il avait couvert l’exposition à partir de sa propre trésorerie. La nouvelle perte de 15,99 millions d’USDT est un événement distinct d’octobre 2026 impliquant des dépôts arrivant sur une infrastructure mise hors service après cette violation antérieure.

Le lien est important car CoinDCX lui-même affirme que l'ancienne infrastructure avait été compromise. Une fois qu'une adresse ou le système qui l'entoure est considéré comme exposé, continuer à récupérer des dépôts à travers elle exige une surveillance particulièrement attentive et un déplacement rapide des fonds. L'ancien incident ne permet pas d'établir que le même attaquant est revenu, et aucune preuve publique examinée n'identifie la personne derrière les transferts d'octobre. L'historique d'infrastructure partagée soulève une question opérationnelle simple : pourquoi tant d'argent est-il resté là après que le danger a été connu ?

En 2025, la plateforme d'échange a également évoqué une refonte de la sécurité et la séparation des portefeuilles clients des comptes opérationnels. La couverture contemporaine de la violation du serveur décrivait l'isolement revendiqué de la première perte. Le second incident montre que la séparation de la garde principale n'est qu'une partie du travail. Les dépôts passent par des adresses et des services automatisés avant d'atteindre cette garde. Une ancienne voie d'entrée peut créer une perte même si les principaux portefeuilles froids restent intacts.

Après le premier incident, les échanges et les retraits en roupies ont repris et l'entreprise a réitéré qu'elle assumerait la perte. L'assurance actuelle a la même forme tournée vers le client, bien que le mécanisme diffère. En juillet 2025, un compte de liquidité interne a été compromis. En octobre 2026, la défaillance déclarée concernait un service qui aurait dû balayer les dépôts arrivant dans une infrastructure retirée. Comparer les deux incidents exige de garder ces mécanismes séparés ; le fait que les deux aient coûté de l'argent à l'entreprise ne prouve pas qu'il s'agisse d'un seul attaquant ou d'une voie d'exploitation répétée.

Cela ne signifie pas que les clients ont subi un débit direct. Cela signifie que l'entreprise a encouru une perte tout en honorant le crédit qu'elle dit leur avoir déjà accordé. Les deux propositions peuvent être vraies en même temps. Elles sont facilement brouillées par des titres qui qualifient l'événement soit de mouvement inoffensif d'un ancien portefeuille, soit de déficit avéré des soldes clients. CoinDCX a reconnu une perte réelle pour l'entreprise et nié un impact sur les soldes clients ; les données publiques ne tranchent pas toutes les questions comptables restantes.

Pourquoi le premier démenti compte

Lorsque les enquêteurs ont fait circuler les transferts pour la première fois, CoinDCX a déclaré que ses portefeuilles actuels n'avaient pas été compromis et a suggéré que les anciennes adresses pourraient produire une fausse alerte. La déclaration répondait à une partie de l'inquiétude, à savoir si l'infrastructure active principale avait été vidée, mais elle n'expliquait pas pourquoi les fonds des anciennes adresses semblaient avoir été pris. Au 25 octobre, l'entreprise avait divulgué une perte réelle et un processus de balayage défaillant.

CoinDCX a reconnu qu'elle aurait pu communiquer de manière plus proactive. Enquêter sur un mouvement de blockchain prend du temps, surtout lorsqu'il faut vérifier les étiquettes d'adresses et les soldes internes. Une entreprise peut néanmoins dire tôt ce qui est connu et inconnu sans traiter une attribution non vérifiée comme une conclusion définitive. Ici, l'écart entre la première réponse et le récit ultérieur a permis aux clients et aux enquêteurs indépendants de débattre de la question de savoir si l'ancien système était inactif en un sens quelconque.

Le suivi le plus utile donnerait une chronologie datée de la panne du balayage, le moment où la surveillance a vu pour la première fois le solde s'accumuler, combien de dépôts concernés ont été crédités, et les mesures prises pour empêcher la collecte de dépôts supplémentaires. Il devrait également distinguer l'argent gelé chez un émetteur de l'argent récupéré et restitué. De tels détails permettraient aux clients d'évaluer le processus qui a échoué plutôt que de se fier à un premier démenti ou à une assurance générale.

L'entreprise affirme que les échanges, les dépôts et les retraits se sont poursuivis tout au long. L'accès continu est un élément de preuve pertinent concernant l'expérience client immédiate, mais ce n'est pas un audit de chaque actif et passif. Une déclaration de l'absorption des pertes par l'entreprise, étayée par des attestations actualisées et la capacité de faire face aux retraits, rendrait la conclusion plus durable. Les régulateurs peuvent également avoir des attentes en matière de reporting, bien qu'aucune action confirmée concernant les transferts d'octobre n'ait été identifiée dans le dossier public examiné.

Retirer un portefeuille demande plus que modifier l'application

Une plateforme d'échange peut cesser d'afficher une ancienne adresse de dépôt ; elle ne peut pas retirer cette adresse de TRON ni forcer le formulaire enregistré d'un expéditeur à l'oublier. Elle doit décider s'il faut surveiller et récupérer les dépôts tardifs, empêcher le client d'être crédité lorsque c'est possible, ou avertir que la récupération pourrait ne pas être possible. Chaque choix a des conséquences. Un service de récupération crée une obligation de continuer à surveiller, même si la plupart des clients sont passés à la nouvelle adresse.

L'approche de CoinDCX a scindé la tâche en deux : créditer d'abord, puis balayer. Sa divulgation d'octobre montre ce qui se passe lorsque la seconde étape s'arrête discrètement. L'événement concerne donc plus qu'une clé compromise. Il expose un décalage entre le moment comptable où l'on annonce au client que son argent est arrivé et le moment de garde où la plateforme déplace réellement l'actif hors d'un emplacement vulnérable.

Le coût final pour CoinDCX peut changer si des actifs sont récupérés. La société a déclaré une perte de 15,99 millions d'USDT et n'a pas annoncé une telle récupération dans sa déclaration. Pour les clients, les questions décisives sont de savoir si les soldes crédités peuvent être retirés, si les futurs dépôts vont aux adresses actuelles et si la plateforme d'échange a corrigé la faille de surveillance. Pour le marché au sens large, la leçon réside dans l'ancienne adresse qui a continué à effectuer un nouveau travail. Sa mise hors service était incomplète tant que de vrais fonds arrivaient encore et qu'un processus automatisé distinct était chargé de les sauvegarder.

Ce qu'il faut surveiller

• Chronologie de la panne : Recherchez les dates auxquelles le balayage s'est arrêté, quand les alertes se sont déclenchées et quand le personnel a remarqué pour la première fois l'accumulation du solde.
• Rapprochement client : Vérifiez s'il existe une comptabilisation datée des dépôts crédités, des actifs de remplacement et des retraits effectués.
• Récupération d'actifs : Distinguez les USDT gelés par Tether des pièces réellement restituées à CoinDCX.
• Cause technique : Attendez des preuves sur la manière dont les portefeuilles obsolètes ont été vidés plutôt que de supposer que l'attaquant de juillet est revenu.
• Politique des anciennes adresses : Surveillez si CoinDCX modifie son service de sauvetage temporaire et comment elle avertit les clients dont les instructions de dépôt enregistrées pointent encore vers des adresses retirées.

FAQ