Stary portfel CoinDCX wciąż przyjmował depozyty. Potem zniknęło 16 mln dolarów

Te portfele miały należeć do przeszłości CoinDCX. Po naruszeniu bezpieczeństwa w lipcu 2025 indyjska giełda zastąpiła skompromitowaną infrastrukturę i poinformowała klientów, aby korzystali z nowych adresów depozytowych. Niektórzy klienci nadal wysyłali jednak pieniądze na stare adresy, a firma nadal uznawała ich wpłaty na kontach, podczas gdy odrębna usługa przenosiła monety na zewnątrz. W październiku ten drugi etap zawiódł.

Adres kryptowalutowy nie wygasa, gdy giełda go wycofuje. Ktoś może zapisać go w formularzu wypłaty, skopiować ze starej wiadomości lub zautomatyzować przelewy na niego na miesiące. Blockchain zaakceptuje transakcję, nawet jeśli obecna aplikacja giełdy wyświetla inne miejsce docelowe. CoinDCX zdecydowało się uznawać te depozyty dla swoich klientów i przenosić rzeczywiste monety do nowszej kustodii. Ten wybór chronił ludzi przed utratą omyłkowego depozytu, pozostawiając jednak ścieżkę przez starą infrastrukturę.

Wyjaśnienie firmy z 25 października mówi, że ta ścieżka zawiodła. Nie ustala każdego etapu nieautoryzowanego transferu, a zewnętrzny czytelnik nie może zobaczyć wewnętrznego rejestru giełdy. Widocznym rezultatem jest wyjątkowo pouczająca awaria kustodii: klienci mogli mieć uznane saldo w aplikacji, podczas gdy odpowiadające mu zdeponowane USDT pozostawało na adresie już uznanym za niebezpieczny. Sposób, w jaki ta luka została wykryta, sfinansowana i zamknięta, ma znaczenie wykraczające poza nagłówkową stratę.

Wycofany adres wciąż miał zadanie

CoinDCX twierdzi, że klienci nadal deponowali środki na adresy wycofane po incydencie z lipca 2025, mimo wskazówek, aby używać nowych. Gdy przelew docierał, giełda natychmiast uznawała go w portfelu klienta. Odrębny zautomatyzowany system zamiatania miał przenosić kryptowalutę ze starego adresu do bezpiecznego portfela. Klient nie musiał czekać na ten drugi przelew, aby korzystać z uznanego salda.

W tym rozwiązaniu tkwi kompromis. Gdyby CoinDCX odmówiło uznania przelewu na stary adres, klient, który ponownie użył zapisanych instrukcji, mógłby wyglądać na osobę, która traci pieniądze. Najpierw uznanie daje osobie szybko saldo konta, ale firma bierze odpowiedzialność za przeniesienie lub zastąpienie rzeczywistych monet. Jeśli zamiatanie zawiedzie, zobowiązania w księgach giełdy mogą wzrosnąć, nawet gdy monety pozostają w podatnych na ataki portfelach.

„Wycofanie” starego adresu może zatem oznaczać dwie różne rzeczy. Może nie być już wyświetlany nowym użytkownikom ani przeznaczony do rutynowych operacji. Nadal może przyjmować depozyty blockchain, być monitorowany przez giełdę i używany w procesie odzyskiwania. Początkowy spór z 22 października opierał się na tym rozróżnieniu. Przedstawiciele CoinDCX twierdzili, że adresy są stare, podczas gdy śledczy wskazywali na ciągłe ruchy między nimi a portfelami operacyjnymi giełdy. Późniejsze wyjaśnienie firmy przyznało, że proces nadal obsługiwał tam depozyty.

Kuszące jest nazywanie każdego ruchu przez wycofany adres zwykłym aktywnym użytkowaniem albo traktowanie „wycofanego” jako dowodu, że żadne pieniądze nie mogły wpłynąć. Żaden z tych opisów nie oddaje układu, który CoinDCX teraz opisał. Adresy te nie były miejscami docelowymi, które jego aplikacja chciała, aby użytkownicy wybierali. Były nadal monitorowane, klienci otrzymywali uznanie za depozyty, a giełda utrzymywała usługę mającą przenosić aktywa dalej. Taka usługa musi działać konsekwentnie, jeśli firma bierze na siebie ryzyko straty klienta.

Pieniądze narastały, podczas gdy sweep zawodził

CoinDCX twierdzi, że jego zautomatyzowana usługa sweep zawiodła „przez określony okres”, pozwalając depozytom się gromadzić. Nie podał, kiedy awaria się zaczęła, czy uruchomiły się alerty, ilu klientów było zaangażowanych ani dlaczego duże nieprzeniesione saldo nie wywołało interwencji przed 21 października. Te brakujące szczegóły utrudniają ocenę, czy słabość trwała godziny, tygodnie czy dłużej.

Badanie transakcji TRON Bitquery naliczyło 40 opróżnionych portfeli i przypisało 15,82 mln USDT z łącznej sumy 15,99 mln do jednego adresu depozytowego. Jego analiza stwierdziła, że duży adres zawierał 88 depozytów od jednego deponenta, z których żaden nie został przeniesiony od marca. Jeśli przypisanie jest poprawne, odstęp między tymi depozytami a usunięciem w październiku był znacznie dłuższy niż krótkie opóźnienie, jakiego klient mógłby oczekiwać od zautomatyzowanego sweepu. Blockchain może pokazać przelewy i salda; sam z siebie nie może pokazać, czy każdy depozyt został uznany klientowi ani jak obsłużono wewnętrzny alert monitorujący.

Bitquery zbadało również małe płatności TRX wymagane do przenoszenia USDT na TRON. Znalazło uzupełnienia opłat dla dotkniętych adresów depozytowych, po których następowały rutynowe przelewy, w tym aktywność 21 października. Giełda musi zasilić adres natywnym tokenem sieci, gdy chce, aby ten adres wysyłał USDT. Powtarzający się wzorzec pomaga wyjaśnić, dlaczego śledczy zakwestionowali twierdzenie, że portfele zostały po prostu porzucone. Nie identyfikuje on, kto uzyskał środki do ich opróżnienia, ani nie dowodzi pierwotnego źródła każdego depozytu.

CoinDCX twierdzi, że zauważył nietypową aktywność w swoich systemach 21 października i następnego dnia zobaczył nieregularne ruchy onchain, a doniesienia ze społeczności skłoniły go do głębszego śledztwa. Firma twierdzi, że natychmiastowe kontrole zapobiegły wpływowi na aktywne portfele i infrastrukturę handlową. Jej ujawnienie z 25 października potwierdziło następnie stratę 15,99 mln USDT. To są opisy wykrycia i powstrzymania podane przez firmę; publiczny łańcuch dostarcza zapis transakcji, ale nie wewnętrzne dzienniki zdarzeń firmy.

Saldo klienta a saldo portfela to dwie różne rzeczy

Klient giełdy zazwyczaj widzi wpis na koncie, a nie konkretną monetę leżącą w wydzielonym adresie blockchain przypisanym wyłącznie do niego. Deklarowana polityka CoinDCX dla starych adresów uznawała konto użytkownika natychmiast po nadejściu depozytu. Giełda była następnie winna klientowi wykazaną kwotę, niezależnie od tego, czy jej odrębny sweep był opóźniony. Gdy aktywa zniknęły ze starego portfela, strata mogła zostać poniesiona przez firmę, jeśli dostarczyła środki zastępcze.

CoinDCX twierdzi, że zrobił dokładnie to.Jego potwierdzone konto strat mówi, że firma pochłonęła 15,99 mln USDT i utrzymuje, że salda klientów, aktywne portfele i operacje nie zostały dotknięte. To istotne rozróżnienie od giełdy przenoszącej straty na deponentów lub wstrzymującej wypłaty. To także twierdzenie, które zasługuje na dalsze działania z danymi dotyczącymi uzgodnień, rezerw i wypłat, ponieważ zewnętrzny obserwator nie może sprawdzić wszystkich zobowiązań wobec klientów jedynie poprzez przeglądanie adresów zaangażowanych w opróżnienie.

Konto giełdy nie czyni brakujących środków wyimaginowanymi. Klient może nadal mieć pełne uznane saldo, podczas gdy firma pokryła koszt kradzieży lub straty operacyjnej. Finansowo firma musi wypełnić lukę z własnych aktywów lub odzyskać skradzione monety. Jej zdolność do tego należy oceniać na podstawie datowanych ujawnień finansowych i dowodów rezerw, a także tego, czy wypłaty nadal są realizowane, a nie wyłącznie na podstawie frazy „środki są bezpieczne”.

CoinDCX wcześniej ogłosił fundusz ochrony klientów z początkową alokacją około 6 milionów dolarów w 2024 roku. Istnienie tego programu nie dowodzi, że sfinansował on stratę z października 2026 roku, która jest większa niż pierwotna alokacja. Firma twierdzi, że pokryła niedobór. Przejrzyste działania następcze wskazałyby, czy uzupełnienie pochodziło ze zwykłych aktywów skarbowych, dedykowanej rezerwy, ubezpieczenia czy odzysków, bez zmuszania klientów do wnioskowania o źródle finansowania z nazwy starego programu.

Klienci, którzy zapisali stary adres, powinni zaktualizować swoje instrukcje płatności. W publicznym łańcuchu nadawca może nadal rozgłosić transakcję na stary adres docelowy, a sieć nie będzie wiedzieć, co obecnie zaleca aplikacja CoinDCX. Giełda twierdzi, że obsługa wycofanych adresów jest tymczasowa. Jeśli to wsparcie się zakończy, sposób postępowania z późniejszym przypadkowym depozytem może się zmienić. Bieżący adres w aplikacji giełdy jest jedynym, na którym klient powinien polegać przy nowym przelewie, z weryfikacją aktywa i sieci w momencie wysyłania.

Śledzenie USDT nie identyfikuje złodzieja

Bitquery prześledził około 9,63 miliona USDT przez pośrednie portfele do adresów depozytowych, które powiązał z OKX, Binance i Gate w ciągu 18 godzin od głównego przelewu. Płatność docierająca na adres powiązany z giełdą może dać śledczym miejsce do poszukiwania zapisów lub współpracy. Nie jest to dowód, że wymieniona giełda dokonała kradzieży, zatwierdziła ją lub nadal posiada wszystkie pieniądze. Przypisanie adresów usług może również zostać zrewidowane.

To samo badanie podało, że Tether zamroził około 2,21 miliona USDT w dziewięciu portfelach 22 października. Zamrożenie może uniemożliwić przemieszczanie tych konkretnych tokenów, ale nie jest tym samym co zwrot CoinDCX. Zwrot może wymagać procesu prawnego, koordynacji z emitentem i potwierdzenia własności. Pierwotne oświadczenie firmy nie ogłosiło odzyskanych aktywów. Podawanie zamrożonej sumy jako już zwróconych pieniędzy zawyżałoby to, co jest znane.

Publiczny zapis ujawnia rozmiar i ścieżkę transakcji znacznie łatwiej niż metodę naruszenia. CoinDCX odniósł się do nieznanych luk w swojej wycofanej infrastrukturze. Nie podał, czy październikowa strata wynikała z kluczy ujawnionych w 2025 roku, późniejszego błędu dostępu czy innej drogi. Bitquery wyraźnie stwierdził, że jego analiza nie może pokazać, w jaki sposób osoba przemieszczająca środki uzyskała klucze. Dokładna przyczyna techniczna wymaga raportu powłamaniowego od operatora, najlepiej z niezależnym przeglądem.

Jeden adres zawierający 15,82 miliona USDT sprawia, że czas ma szczególne znaczenie. Gdyby monety zostały zmiecione w momencie ich nadejścia, to saldo nie pozostałoby na tym adresie w chwili opróżnienia. Taki kontrfaktyczny scenariusz nie dowodzi, że kradzieży można było całkowicie zapobiec, ponieważ portfel docelowy i mechanizmy kontroli dostępu również miałyby znaczenie. Wyjaśnia jednak, dlaczego porażka mechanizmu zmiatającego nie jest drugorzędnym szczegółem: określiła, ile wartości znajdowało się na skompromitowanej ścieżce.

Naruszenie z 2025 roku było innym incydentem

Raport o incydencie z lipca 2025 roku opisywał stratę około 44 milionów dolarów z wewnętrznego konta operacyjnego używanego do zapewniania płynności na giełdzie partnerskiej. CoinDCX stwierdził, że aktywa klientów w wydzielonych zimnych portfelach nie zostały dotknięte i że pokrył ekspozycję z własnego skarbu. Nowa strata 15,99 miliona USDT to odrębne wydarzenie z października 2026 roku, obejmujące depozyty docierające do infrastruktury wycofanej po tym wcześniejszym naruszeniu.

Powiązanie ma znaczenie, ponieważ sama CoinDCX twierdzi, że stara infrastruktura została naruszona. Gdy adres lub otaczający go system zostanie uznany za narażony, dalsze ratowanie depozytów za jego pośrednictwem wymaga szczególnie uważnego monitorowania i szybkiego przemieszczania środków. Stary incydent nie może dowodzić, że powrócił ten sam atakujący, a żadne przejrzane publiczne dowody nie identyfikują osoby stojącej za październikowymi transferami. Wspólna historia infrastruktury rodzi jednak proste pytanie operacyjne: dlaczego po ujawnieniu zagrożenia pozostało tam tak dużo pieniędzy?

W 2025 roku giełda mówiła również o przeprojektowaniu bezpieczeństwa i oddzieleniu portfeli klientów od kont operacyjnych. Ówczesne relacje o naruszeniu serwera opisywały deklarowaną izolację pierwszej straty. Drugi incydent pokazuje, że oddzielenie głównego depozytu to tylko jedna część zadania. Depozyty przechodzą przez adresy i zautomatyzowane usługi, zanim dotrą do tego depozytu. Stara droga przyjmowania wpłat może spowodować stratę, nawet jeśli główne zimne portfele pozostaną nietknięte.

Po pierwszym incydencie wznowiono handel i wypłaty w rupiach, a firma powtórzyła, że poniesie stratę. Obecne zapewnienie ma ten sam, skierowany do klientów kształt, choć mechanizm jest inny. W lipcu 2025 roku naruszono wewnętrzne konto płynności. W październiku 2026 roku deklarowaną awarią była usługa, która powinna była zgarniać depozyty trafiające do wycofanej infrastruktury. Porównanie obu incydentów wymaga oddzielenia tych mechanizmów; fakt, że oba kosztowały firmę pieniądze, nie jest dowodem na jednego atakującego ani na powtórzoną ścieżkę wykorzystania luki.

Nie oznacza to, że klienci ponieśli bezpośrednie obciążenie. Oznacza to, że firma poniosła stratę, wywiązując się z uznania, które, jak twierdzi, już im przyznała. Oba twierdzenia mogą być prawdziwe jednocześnie. Łatwo je zacierać nagłówkami, które nazywają wydarzenie albo nieszkodliwym ruchem ze starego portfela, albo udowodnionym niedoborem salda klientów. CoinDCX przyznała realną stratę firmy i zaprzeczyła wpływowi na salda klientów; publiczne dane nie rozstrzygają wszystkich pozostałych kwestii księgowych.

Dlaczego pierwsze zaprzeczenie ma znaczenie

Gdy śledczy po raz pierwszy rozpowszechnili informacje o transferach, CoinDCX stwierdziła, że jej obecne portfele nie zostały naruszone, i zasugerowała, że stare adresy mogą generować fałszywy alarm. Oświadczenie odnosiło się do części obaw, mianowicie czy główna aktywna infrastruktura została opróżniona, ale nie wyjaśniało, dlaczego środki na starych adresach wydawały się zostać zabrane. Do 25 października firma ujawniła realną stratę i nieudany proces zgarniania.

CoinDCX przyznała, że mogła komunikować się bardziej proaktywnie. Zbadanie ruchu w blockchainie wymaga czasu, zwłaszcza gdy trzeba sprawdzić etykiety adresów i wewnętrzne salda. Firma nadal może wcześnie powiedzieć, co jest znane, a co nieznane, bez traktowania niezweryfikowanego przypisania jako ustalonego wniosku. Tutaj luka między pierwszą odpowiedzią a późniejszym opisem pozwoliła klientom i niezależnym śledczym spierać się, czy stary system był w jakimkolwiek istotnym sensie nieaktywny.

Najbardziej użyteczna kontynuacja podałaby datowaną chronologię awarii zgarniania, moment, w którym monitoring po raz pierwszy zauważył narastające saldo, ile dotkniętych depozytów uznano, oraz środki podjęte, aby powstrzymać gromadzenie dodatkowych depozytów. Powinna także odróżnić pieniądze zamrożone u emitenta od pieniędzy odzyskanych i zwróconych. Taki szczegół pozwoliłby klientom ocenić proces, który zawiódł, zamiast polegać na wczesnym zaprzeczeniu lub ogólnym zapewnieniu.

Firma twierdzi, że handel, depozyty i wypłaty trwały przez cały czas. Ciągły dostęp jest istotnym dowodem dotyczącym bezpośredniego doświadczenia klientów, ale nie jest audytem każdego aktywa i zobowiązania. Oświadczenie o absorpcji strat przez firmę, poparte zaktualizowanymi poświadczeniami i zdolnością do realizacji wypłat, uczyniłoby wniosek trwalszym. Regulatorzy mogą również mieć oczekiwania dotyczące raportowania, choć w przejrzanym publicznym zapisie nie zidentyfikowano żadnych potwierdzonych działań dotyczących październikowych transferów.

Wycofanie portfela wymaga więcej niż zmiany w aplikacji

Giełda może przestać wyświetlać stary adres depozytowy; nie może usunąć tego adresu z TRON ani zmusić zapisanego formularza nadawcy, by o nim zapomniał. Musi zdecydować, czy monitorować i ratować spóźnione depozyty, blokować klientowi uznanie, gdzie to możliwe, czy ostrzegać, że odzyskanie może być niemożliwe. Każdy wybór ma konsekwencje. Usługa ratunkowa tworzy obowiązek dalszego obserwowania, mimo że większość klientów przeniosła się na nowy adres.

Podejście CoinDCX podzieliło zadanie na dwie części: najpierw uznanie, potem zgarnianie. Jej październikowe ujawnienie pokazuje, co się dzieje, gdy drugi krok po cichu się zatrzymuje. Wydarzenie dotyczy więc czegoś więcej niż skompromitowanego klucza. Ujawnia ono rozdźwięk między momentem księgowym, w którym klientowi mówi się, że jego pieniądze dotarły, a momentem depozytowym, w którym giełda faktycznie przenosi aktywo z narażonego miejsca.

Ostateczny koszt dla CoinDCX może się zmienić, jeśli aktywa zostaną odzyskane. Firma zgłosiła stratę w wysokości 15,99 mln USDT i nie ogłosiła takiego odzyskania w swoim oświadczeniu. Dla klientów decydujące pytania brzmią: czy zaksięgowane salda można wypłacić, czy przyszłe wpłaty trafiają na bieżące adresy oraz czy giełda naprawiła lukę w monitorowaniu. Dla szerszego rynku lekcja tkwi w starym adresie, który nadal wykonywał nową pracę. Jego wycofanie było niekompletne, dopóki realne środki wciąż napływały, a za ich zabezpieczenie odpowiadał odrębny zautomatyzowany proces.

Na co zwrócić uwagę

• Harmonogram awarii: Należy szukać dat, kiedy zatrzymał się sweep, kiedy uruchomiły się alerty i kiedy personel po raz pierwszy zauważył narastające saldo.
• Uzgodnienie z klientami: Należy sprawdzić, czy istnieje datowane rozliczenie zaksięgowanych wpłat, aktywów zastępczych i zrealizowanych wypłat.
• Odzyskiwanie aktywów: Należy odróżnić USDT zamrożone przez Tether od jakichkolwiek monet faktycznie zwróconych CoinDCX.
• Przyczyna techniczna: Należy poczekać na dowody, w jaki sposób wyczerpano przestarzałe portfele, zamiast zakładać, że powrócił atakujący z lipca.
• Polityka starych adresów: Należy obserwować, czy CoinDCX zmieni swoją tymczasową usługę ratunkową i w jaki sposób ostrzega klientów, których zapisane instrukcje wpłat nadal wskazują na wycofane adresy.

FAQ