¡CoinDCX, el exchange indio de criptomonedas, se ve envuelto en una polémica por su seguridad y gestión operativa! Tras sufrir en 2025 un hackeo que le costó unos 44 millones de dólares, la plataforma reconoció oficialmente el 25 de octubre que perdió 15,99 millones de USDT (unos 16 millones de dólares) debido al acceso no autorizado a una antigua infraestructura de monederos y a un fallo en el sistema automatizado de consolidación de fondos. Antes, el CEO Sumit Gupta había negado públicamente que se hubiera producido un nuevo ataque y dijo que las alertas podían ser una «falsa alarma». Luego, el investigador on-chain ZachXBT puso en duda esa afirmación con registros de transacciones.
El cofundador y CEO Sumit Gupta negó el 22 de octubre las alertas on-chain sobre un supuesto robo de unos 16 millones de dólares y afirmó que el incidente podía ser una «falsa alarma». Sin embargo, el día 25 el exchange reconoció oficialmente que se había explotado un antiguo sistema de monederos, lo que provocó pérdidas de unos 16 millones de dólares.
Lo más preocupante es que estas billeteras estaban inactivas desde el hackeo que sufrió el exchange en 2025. Aun así, CoinDCX siguió procesando los fondos de usuarios que los depositaban por error en direcciones antiguas. Finalmente, al fallar el sistema automático de consolidación de fondos, estos quedaron retenidos en direcciones que se sabía que presentaban riesgos.
Si las billeteras antiguas estaban inactivas desde hacía tiempo, ¿por qué aún contenían 16 millones de dólares?
Según un comunicado oficial de CoinDCX del 25 de octubre, el incidente se remonta al 21 de octubre. El exchange señaló que las direcciones afectadas pertenecían a un sistema de billeteras antiguas, abandonado tras el hackeo de julio de 2025, pero algunos usuarios seguían enviando fondos a direcciones obsoletas.
En condiciones normales, CoinDCX primero abona los depósitos en las cuentas de los usuarios y luego los transfiere a billeteras seguras mediante un servicio automático de consolidación de fondos (Wallet Sweeping). Sin embargo, este mecanismo dejó de funcionar correctamente durante un tiempo, lo que provocó que se acumulara una gran cantidad de USDT en las direcciones antiguas, hasta que alguien los transfirió.
CoinDCX indicó que la empresa asumirá la pérdida de 15,99 millones de USDT. Los sistemas actuales de trading y de billeteras no se vieron afectados, y los servicios de depósito, retiro y trading para los usuarios siguieron funcionando con normalidad.
El CEO negó primero que hubiera habido un hackeo; ZachXBT cuestionó públicamente esa versión
El incidente salió a la luz inicialmente gracias al investigador de blockchain Darcy, quien señaló que se había producido una transferencia anómala de unos 15,99 millones de USDT desde billeteras de TRON vinculadas a CoinDCX.
El director ejecutivo de CoinDCX, Sumit Gupta, respondió después que las billeteras actuales no habían sido vulneradas. Afirmó que las transacciones en cuestión podrían deberse a que un hacker volvió a utilizar direcciones antiguas comprometidas el año pasado, y describió el incidente como una «falsa alarma».
Sin embargo, el investigador de blockchain ZachXBT presentó enseguida pruebas que apuntaban en otra dirección. Señaló que uno de los domicilios implicados siguió siendo utilizado por un proveedor de liquidez tras el incidente de seguridad de julio de 2025, y que en abril y mayo de 2026 se transfirieron fondos desde allí a las billeteras calientes actuales de CoinDCX. Por ello, ZachXBT cuestionó la afirmación de la plataforma de que las «billeteras antiguas llevaban tiempo desactivadas», al considerar que no concordaba con los registros reales de transacciones en la cadena.
CoinDCX finalmente reconoció la pérdida el 25 de octubre. Explicó que investigar la infraestructura antigua llevó tiempo y admitió que podría haber comunicado la situación al público de forma más proactiva.
Según una investigación de Bitquery sobre la actividad en la cadena, el atacante sustrajo fondos de unas 40 direcciones de TRON vinculadas a CoinDCX. De una sola dirección se retiraron alrededor de 15,82 millones de USDT, casi el 99 % de la pérdida total.
La investigación señala que el atacante dividió los fondos y los transfirió. En el plazo de aproximadamente un día desde el incidente, envió unos 9,63 millones de USDT a direcciones de depósito de tres exchanges: unos 5,46 millones de USDT a OKX, 2,77 millones a Binance y 1,39 millones a Gate.
Bitquery rastreó los fondos más a fondo y descubrió que Tether congeló nueve direcciones relacionadas el 22 de octubre, que contenían alrededor de 2,21 millones de USDT. Sin embargo, que los fondos hayan llegado a exchanges no significa que se hayan convertido en efectivo. Por ahora, no es posible confirmar el destino final de todos los activos robados.
Dos incidentes de seguridad ponen de nuevo a prueba los controles de riesgo del exchange
CoinDCX ya había sufrido un incidente de seguridad de unos 44 millones de dólares en julio de 2025. Ahora, unos 15 meses después, vuelve a afrontar una pérdida considerable por problemas relacionados con billeteras antiguas y sus procesos internos de gestión de fondos.
La principal señal de alarma de este incidente no es solo si las claves privadas o las billeteras son seguras, sino que desactivar una billetera no equivale a desactivar todos los procesos asociados. Si las direcciones antiguas siguen recibiendo fondos y los sistemas automáticos de consolidación y monitoreo de riesgos no funcionan eficazmente y de forma coordinada, una infraestructura que se consideraba retirada aún puede convertirse en objetivo de un ataque.
Aunque CoinDCX recalcó que la empresa asumirá la pérdida y que los saldos de las cuentas de los clientes y los activos guardados en billeteras frías segregadas no se vieron afectados, y que los servicios de trading, depósito y retiro siguieron funcionando con normalidad, aún queda por investigar quién fue el atacante, cómo se produjo exactamente la intrusión y por qué los sistemas internos de control de riesgos no impidieron a tiempo que se acumularan los fondos.
El artículo «¡Hackeo de 16 millones de dólares en CoinDCX! El CEO lo calificó primero de “falsa alarma”, pero tres días después reconoció la pérdida: ¿la billetera antigua hackeada seguía recibiendo fondos?» se publicó originalmente en (區塊客).