CoinDCX, największa giełda kryptowalut w Indiach pod względem wolumenu obrotu, poinformowała o stracie w wysokości 15,99 mln USDT. Firma pokryje ją z własnych środków. Przyczyną był błąd w wewnętrznym procesie obsługi wpłat kierowanych na nieużywany już adres portfela.
Od podejrzanych przelewów do wyjaśnień giełdy
Sprawa wyszła na jaw po tym, jak analitycy śledzący transakcje w blockchainie zwrócili uwagę na odpływy o wartości około 16 mln dolarów z adresów powiązanych z CoinDCX. Początkowo giełda uznała doniesienia za fałszywy alarm. Jej prezes, Sumit Gupta, stwierdził w serwisie X, że wskazane portfele nie były już używane.
CoinDCX wyjaśniała wtedy, że adresy utworzono w styczniu 2025 roku i zostały naruszone podczas ataku z lipca tego samego roku. Tamten incydent kosztował firmę około 44 mln dolarów. Analityk ZachXBT podważył jednak stanowisko giełdy, wskazując, że jeden z adresów, oznaczony jako TQKJQ, miał być wykorzystywany przez dostawcę płynności, a środki trafiały z niego do aktualnego portfela hot wallet CoinDCX jeszcze w kwietniu i maju 2026 roku.
Komentarz autora: Ta sprawa pokazuje, że błędy w procedurach operacyjnych mogą prowadzić do poważnych strat, nawet bez nowego ataku hakerskiego. Szczególnie istotne jest to, że klienci nadal wysyłali środki na wycofany adres. Giełdy powinny jasno informować o zmianach w infrastrukturze wpłat i regularnie sprawdzać działanie wewnętrznych procesów.
Jak doszło do straty
W późniejszym komunikacie giełda przyznała, że adres TQKJQ należał do jej dawnej infrastruktury operacyjnej. Po ataku z lipca 2025 roku portfel został wycofany z użytku, ale część klientów nadal wysyłała na niego środki. CoinDCX twierdzi, że po otrzymaniu wpłaty uznawała saldo użytkownika.
Następnie specjalny proces, określany przez firmę jako „sweeping”, miał przenosić środki ze starych adresów do głównego portfela giełdy. Przez pewien czas mechanizm ten nie działał prawidłowo, a wpłaty gromadziły się w wycofanym portfelu. CoinDCX nie określiła zdarzenia jako nowego ataku hakerskiego ani nie wskazała, kto odpowiadał za nietypowe ruchy środków.
Zobacz także: Prywatne klucze, a nie smart kontrakty, odpowiadają za 40% strat w krypto – co się zmienia. Przypadek CoinDCX przypomina, że bezpieczeństwo obejmuje również procesy zarządzania portfelami.
Firma zapewnia o bezpieczeństwie pozostałych środków
Giełda podkreśla, że salda klientów, aktywne portfele i systemy handlowe nie zostały naruszone. Według CoinDCX środki użytkowników są przechowywane w odseparowanych portfelach cold wallet, które pozostają offline i są chronione dodatkowymi zabezpieczeniami.
Firma przyznała jednocześnie, że mogła szybciej poinformować o sprawie. Jak wyjaśniła, potrzebowała czasu na szczegółową analizę dawnej infrastruktury i ustalenie przebiegu wydarzeń, a komunikat opublikowała po zebraniu pełnego obrazu sytuacji.
To nie wygląda jak „błąd w obsłudze wpłat”, tylko klasyczny syf z migracją infrastruktury i niedomkniętym UX po wycofaniu adresów. Jeśli nadal akceptowali na stary portfel i potem mieli sweep joba, to ktoś zawalił monitoring albo routing depozytów. Przy tej skali giełda powinna mieć przynajmniej twarde alerty na anomalie w hot walletach, a nie tłumaczyć się po fakcie.
Mam wrażenie, że oni sami do końca nie wiedzą co się stało. Najpierw „fałszywy alarm”, potem „stary adres był jeszcze używany”, a na końcu „sweeping nie działał prawidłowo”. To brzmi jak bałagan w operacjach, nie jak jeden incydent. Dobrze, że pokryją stratę, ale zaufania do takiej platformy to mi nie buduje.
Z punktu widzenia bezpieczeństwa to ciekawy case. Jeśli depozyty wpadały na wycofany adres, a system kredytował userów przed poprawnym zapięciem ścieżki orkiestrowania środków, to ryzyko księgowe było od początku po ich stronie. Najgorsze, że nie nazwali tego wprost jako incydentu operacyjnego. W blockchainie wszystko jest publiczne, więc takie rzeczy i tak wyjdą.
No i mamy kolejny przykład, że „nieużywany adres” na giełdzie potrafi być tylko hasłem marketingowym. Jak klientom nadal działa wpłata na stary wallet, to dla mnie ten adres nie jest nieużywany. 16 mln USDT przez błąd procesowy? Trochę grubo jak na firmę, która obraca takimi kwotami na co dzień.
Ktoś tu chyba pomylił obsługę depozytów z archiwizacją portfeli. Jeśli po ataku z 2025 mieli nadal jakieś stare endpointy wpłat, to powinni je było od razu odciąć albo chociaż oznaczyć jako martwe po stronie UI. Ciekawe czy problem dotyczył tylko jednego łańcucha, czy całego systemu adresów dla użytkowników.
Trochę dziwi mnie, że po wcześniejszym ataku na 44 mln oni nadal mają podobne problemy z infrastrukturą. Dla zwykłego użytkownika to jest słaby sygnał: raz robią bałagan z bezpieczeństwem, drugi raz z procesem wpłat. Nawet jeśli środki klientów są „bezpieczne”, to taka giełda wygląda po prostu nieprofesjonalnie.
To jest właśnie problem z centralizacją na CEX-ach: nawet bez „hacka” można uwalić sobie 16 mln przez źle zrobiony proces i potem ratować wizerunek komunikatem. Blockchain da się prześledzić, więc pudrowanie tego jako „stare portfele” niewiele daje. Na miejscu klientów patrzyłbym raczej na własny custody niż na obietnice, że cold wallet wszystko załatwia.