Ключ к инциденту с CoinDCX заключается в очевидном разрыве между «кошелёк был деактивирован» и «связанные процедуры обработки средств всё ещё выполняются».
Согласно заявлению, опубликованному CoinDCX 25 октября, затронутый кошелёк относился к старой операционной инфраструктуре, которая была заброшена после инцидента безопасности в июле 2025 года. Поскольку некоторые пользователи всё ещё переводили активы на устаревшие адреса, платформа решила продолжать учитывать связанные депозиты, а затем через сервис автоматического свипинга переводить средства в основной кошелёк. Однако в течение определённого периода сервис автоматического свипинга не работал должным образом, из-за чего средства застряли на старых адресах и в конечном итоге привели к потере примерно 15,99 млн USDT.
С точки зрения пользовательского опыта такая схема не является полностью неразумной. Переводы криптовалюты необратимы. Если пользователи переводят средства на старые адреса, а биржа просто отказывается от их обработки, пользователи могут столкнуться с дилеммой невозможности вернуть свои активы. Продолжение идентификации старых адресов и обработки ошибочно переведённых депозитов на самом деле является попыткой найти баланс между обслуживанием пользователей и миграцией инфраструктуры.
Но именно здесь и возникает проблема: когда биржа решает продолжать обрабатывать средства на старых адресах, это означает, что она не может просто перестать отображать адреса и считать, что связанные обязанности по безопасности выполнены. Пока старые адреса могут по-прежнему получать активы, платформа обязана чётко определить, кто отвечает за мониторинг, как переводятся средства, как аномалии запускают оповещения и какие меры следует принимать при сбое системы свипинга.
Иными словами, тот факт, что старый кошелёк больше не является частью нормальных бизнес-процессов, не означает, что он вышел из сферы управления рисками. Если платформа по-прежнему учитывает связанные депозиты, но не может гарантировать, что средства будут переведены должным образом, то старые адреса фактически всё ещё находятся в цепочке операционной ответственности биржи.
Именно поэтому этот инцидент заслуживает внимания отрасли. Атакующие использовали не только адрес кошелька с уязвимостями безопасности, но и возможные управленческие пробелы между выводом кошелька из эксплуатации, обработкой пользовательских депозитов и автоматическим свипингом.
От 44 миллионов до 16 миллионов: почему риск появился снова?
CoinDCX пережила инцидент безопасности на сумму около 44 миллионов долларов в июле 2025 года. Потеря примерно 15,99 млн USDT на этот раз не является точно такой же ситуацией, как предыдущий инцидент, но есть связь, которая заслуживает внимания: были ли после предыдущего инцидента безопасности риски старой инфраструктуры достаточно изолированы и были ли связанные процедуры обработки активов системно исправлены?
CoinDCX заявила, что затронутый старый кошелёк был заброшен после инцидента 2025 года, но данное расследование обнаружило, что сервис автоматического свипинга в течение некоторого времени не работал, что привело к накоплению средств. Платформа заявила, что убытки на этот раз понесёт компания, что текущие торговые и кошелёчные системы не затронуты, а балансы средств пользователей также не пострадали.
Это означает, что два инцидента нельзя просто отождествлять как один и тот же тип атаки, а также нельзя напрямую утверждать в отсутствие полного судебно-технического отчёта, что вся архитектура безопасности платформы системно отказала. Однако повторное появление крупных рисков, связанных со старыми кошельками, достаточно, чтобы побудить сторонних наблюдателей задаться вопросом: предыдущее исправление безопасности лишь заменило некоторые адреса и системы или уже охватило полные процессы управления ключами, мониторинга исторических адресов, обработки аномальных депозитов и свипинга средств?
В повседневной деятельности централизованных бирж кошелёчная система обычно представляет собой не набор независимых адресов, а сложную архитектуру, включающую адреса для депозитов, сервисы свипинга, горячие кошельки, холодные кошельки, поставщиков ликвидности и внутренние системы учёта. Проблемы в любом звене могут повлиять на движение средств. Если исправление безопасности сосредоточено только на замене ключей или миграции активных кошельков без одновременной очистки исторических разрешений, деактивации связанных сервисов и непрерывного мониторинга старых адресов, риски могут появиться вновь в разных формах.
Что ещё более примечательно, автоматизированные системы сами по себе не являются синонимом безопасности. Автоматический свипинг может сократить ручные операции и повысить эффективность обработки средств, но как только перебои в обслуживании, накопление задач или аномальные состояния остаются незамеченными, инструменты, изначально предназначенные для снижения операционных издержек, также могут стать каналами накопления рисков.
Таким образом, этот инцидент на самом деле проверяет не то, есть ли у биржи холодные кошельки, а то, может ли она доказать, что весь жизненный цикл средств находится в состоянии, которое можно отслеживать, прослеживать и своевременно вмешиваться.
Почему данные ончейн имеют больший вес, чем немедленный устный ответ?
Еще одной важной подсказкой в инциденте является временной разрыв между первоначальной реакцией CoinDCX на аномальные переводы и ее последующим официальным заявлением.
22 октября генеральный директор Сумит Гупта ответил на предупреждение об аномальном переводе, поднятое ончейн-исследователем, заявив, что соответствующий адрес принадлежал старому кошельку, пострадавшему в инциденте безопасности 2025 года, и что предупреждение может быть «ложным срабатыванием». Позже ончейн-исследователь ZachXBT выразил сомнения, указав, что по крайней мере один из задействованных адресов все еще использовался поставщиком ликвидности после инцидента в июле 2025 года и переводил средства на текущий горячий кошелек CoinDCX в апреле и мае 2026 года. В конечном итоге CoinDCX 25 октября признала, что со старой инфраструктурой были проблемы, и раскрыла сумму убытков.
Этот процесс отражает все более очевидное изменение в криптоиндустрии: публичный ончейн-реестр меняет информационные отношения между биржами и рынком.
Поток средств в традиционных финансовых учреждениях обычно опирается на внутренние реестры, аудиторские отчеты и нормативные раскрытия, что затрудняет для внешних наблюдателей немедленное понимание конкретных путей транзакций после инцидента. Однако в среде публичной цепочки время перевода, сумма, хеш транзакции и потоки средств между адресами могут непрерывно отслеживаться внешними исследователями. Хотя фактических контролеров за адресами не всегда можно напрямую идентифицировать, публичных данных достаточно, чтобы проверить некоторые объяснения учреждений.
Это не означает, что каждое суждение ончейн-исследователей обязательно верно. Ончейн-записи могут доказать, когда и сколько актива было переведено, но сами по себе они не обязательно доказывают, кто контролировал адрес, как средства учитывались внутри биржи или как образовалась конкретная уязвимость. Поэтому для определения характера инцидента по-прежнему необходимо сочетать заявления платформы, технические расследования и внутренние бухгалтерские записи.
Но для бирж ончейн-информация больше не является просто инструментом для привлечения к ответственности после факта; она также может стать важной основой для оценки риска рынком. Когда публичные данные существенно расходятся с первоначальным объяснением учреждения, учреждению необходимо предоставить более четкие доказательства и хронологию, а не полагаться только на краткий устный ответ.
С точки зрения кризисных коммуникаций, признание при первой возможности того, что расследование еще не завершено, — это иной подход, чем прямое описание аномального сигнала как ложного срабатывания. Первый сохраняет пространство для последующей проверки, тогда как второй может подорвать доверие рынка до выяснения фактов. Позже CoinDCX также признала, что расследование старой инфраструктуры заняло некоторое время и что платформа могла бы более активно объяснять ситуацию внешнему миру.
Для бирж прозрачность не требует публикации всех технических деталей на начальном этапе расследования, но требует четкого разграничения подтвержденных фактов, выводов, все еще ожидающих проверки, и мер, которые предпринимает платформа.
Куда ушли 15,99 млн USDT? Отслеживание средств — это не то же самое, что возврат активов
Согласно расследованию фирмы по анализу блокчейн-данных Bitquery, злоумышленники перевели примерно 15,99 млн USDT с примерно 40 адресов TRON, связанных с CoinDCX, из которых около 15,82 млн USDT поступили с одного адреса, что составляет подавляющую часть общих потерь. Расследование также показало, что после вывода средства были разделены и перемещены через несколько адресов, причем около 9,63 млн долларов поступили на депозитные адреса, связанные с OKX, Binance и Gate.
Этот путь средств имеет значение в двух отношениях.
Во-первых, дробление средств не означает, что отслеживание в блокчейне стало неэффективным. Даже если активы переводятся через множество промежуточных адресов, записи транзакций остаются в блокчейне, и следователи могут восстановить часть потока средств на основе корреляций по времени, суммам и адресам. Если активы попадают на централизованные торговые платформы с механизмами идентификации клиентов, связанные адреса депозитов также могут дать подсказки для последующих расследований.
Но во-вторых, отслеживание в блокчейне — это не то же самое, что возврат средств. Поступление активов на адрес депозита торговой платформы лишь указывает на то, что средства поступили на соответствующий адрес; это напрямую не доказывает, что торговая платформа идентифицировала конечного контроллера, и не доказывает, что все активы были заморожены или возвращены. Окончательный результат по-прежнему зависит от сотрудничества платформы, идентификации аккаунта, правоохранительных процедур и последующих расследований.
Для централизованно выпускаемых стейблкоинов, таких как USDT, эмитент может в соответствии со своей политикой и применимыми правовыми требованиями заморозить конкретные адреса. Однако возможность заморозки, момент её осуществления и то, покрывает ли замороженная сумма все убытки, — всё это требует подтверждения конкретными доказательствами. Нельзя предполагать, что процесс возврата завершён только потому, что часть средств поступила на биржи.
Это также показывает, что последствия инцидентов безопасности бирж часто выходят за пределы платформы, где изначально возникла проблема. Когда средства поступают на другие биржи, проходят через промежуточные кошельки или попадают в кросс-чейн каналы, инцидент может превратиться в вопрос совместного реагирования с участием нескольких учреждений. Возврат активов зависит не только от собственных следственных возможностей пострадавшей платформы, но и от обмена информацией и скорости реагирования в масштабах всей отрасли.
Для пользователей прозрачность блокчейна может повысить наблюдаемость инцидента, но не может устранить риск потери активов. Публичные записи помогают отслеживать средства, но не могут заменить предварительный контроль рисков.
Какая проверка всё ещё необходима для обещания, что средства пользователей не затронуты?
CoinDCX подчеркнула, что убытки на этот раз понесёт компания, что балансы пользовательских аккаунтов, текущие кошельки и торговые системы не затронуты, а также что услуги платформы по депозитам, выводам и торговле остаются в нормальном режиме.
Это заявление важно, но рынку всё ещё необходимо различать три разных уровня: полон ли баланс, отображаемый в пользовательских аккаунтах, располагает ли платформа фактическими активами, достаточными для покрытия соответствующих обязательств, и почему средства на соответствующем старом адресе оставались заблокированными в течение длительного времени.
В рамках операционной модели централизованных бирж балансы пользовательских аккаунтов обычно отражают внутренние учётные записи платформы и не означают, что каждый пользовательский актив соответствует один к одному независимому адресу в блокчейне. Поэтому даже если пользовательские балансы остаются неизменными, всё равно необходимо подтвердить соотношение между фактическими активами платформы и обязательствами перед пользователями посредством внутренней сверки учёта, доказательства активов и независимых аудитов.
CoinDCX заявила, что понесёт убытки, что означает, что платформе необходимо использовать собственные ресурсы для покрытия этого дефицита финансирования. Однако сможет ли это обязательство получить устойчивое признание рынка, по-прежнему зависит от того, будут ли последующие раскрытия достаточными, включая то, как учитываются убытки, на каком этапе отказала служба сбора средств, почему старый адрес продолжал получать средства и были ли устранены соответствующие меры контроля.
Особого сомнения заслуживает то, почему платформа могла продолжать зачислять депозиты на старый адрес, но не смогла своевременно обнаружить аномалию, заключающуюся в том, что средства не собирались. Если депозит уже поступил на пользовательский аккаунт, но соответствующие активы длительное время остаются на рискованном адресе, то вопрос о том, существует ли достаточно своевременный механизм сверки между внутренним учётом и активами в блокчейне, становится вопросом, на который необходимо ответить.
Это не прямое отрицание обязательства CoinDCX в отношении безопасности средств пользователей, а скорее подчёркивание того, что после убытка в десятки миллионов долларов простого заявления о том, что «активы пользователей не затронуты», недостаточно для полного объяснения рисков. Более убедительным подходом было бы предоставление проверяемых учётных объяснений, результатов исправления системы и мер контроля, способных доказать, что подобные аномалии больше не будут продолжать накапливаться.
Конкуренция в области безопасности бирж смещается от защиты кошельков к управлению полным процессом
Тенденция отрасли, отражённая инцидентом CoinDCX, заключается в том, что критерии оценки безопасности бирж смещаются от точечной защиты ключей к более полному операционному управлению.
В прошлом, когда рынок обсуждал безопасность бирж, он часто в первую очередь обращал внимание на то, хранятся ли приватные ключи в офлайн-режиме, установлены ли лимиты на горячие кошельки, развернута ли мультиподпись и изолированы ли активы холодных кошельков от торговой системы. Эти меры остаются важными, но они в основном решают лишь часть проблем в области хранения активов и не могут автоматически охватить такие области, как управление старыми адресами, аномальный сбор средств, зависимость от сторонних сервисов, внутренние разрешения и коммуникация об инцидентах.
Более зрелая система безопасности должна включать весь процесс работы кошельков — от создания, активации и миграции до деактивации — в управление. Для адресов, которые были заброшены, но все еще могут получать активы, платформе необходимо уточнить обязанности по мониторингу, установить пороговые значения аномальных балансов и инициировать оповещения и ручное вмешательство при сбое автоматизированного сервиса сбора средств. Если старый адрес больше не имеет условий для безопасной обработки, платформе также необходимо установить четкие границы рисков между уведомлениями пользователей, идентификацией депозитов и распоряжением активами.
В то же время автоматизированные системы должны обладать возможностями обнаружения неисправностей, мониторинга накопления задач и аудита аномальных потоков средств. О том, работает ли система нормально, не следует судить только по тому, находится ли сервис в сети; необходимо также подтвердить, действительно ли выполняются ключевые бизнес-задачи. Для бирж процесс перевода средств с адресов депозитов пользователей на целевые кошельки должен иметь записи о статусе, которые можно независимо проверить.
Наконец, управление безопасностью также должно образовывать замкнутый цикл с внешним раскрытием информации. При возникновении аномальных транзакций платформа должна своевременно защитить существующие активы, а также как можно скорее объяснить пользователям масштаб инцидента, подтвержденные потери, затронутые системы и ход расследования. Своевременная коммуникация не может заменить техническое исправление, но она может снизить издержки доверия, вызванные дальнейшим распространением неопределенности.
Потери CoinDCX на этот раз составили примерно 15,99 млн USDT. Сумма, безусловно, заслуживает внимания, но долгосрочное влияние инцидента может в большей степени зависеть от того, как платформа объяснит и устранит риски, оставленные старой инфраструктурой. Для всей индустрии криптоторговли это также напоминание: безопасность не заканчивается после завершения миграции кошельков; напротив, необходимо обеспечить, чтобы каждый адрес, сервис и внутренний процесс, которые все еще могут соприкасаться с активами пользователей, находились в четких рамках ответственности и контроля.
По мере того как биржи продолжают расширять масштаб пользователей, добавлять типы активов и повышать уровень автоматизации, истинная способность к обеспечению безопасности проявляется не только в том, где хранятся средства, но и в том, можно ли после возникновения аномалии своевременно обнаружить, заблокировать, проверить и объяснить рынку проверяемым образом. Сможет ли CoinDCX восстановить доверие, в конечном счете будет зависеть от того, смогут ли последующие расследования и исправления ответить на эти вопросы, а не просто от того, кто несет единичный убыток.
