Bursa kripto India CoinDCX tersandung kontroversi keamanan siber dan manajemen operasional! Setelah diretas pada 2025 dan merugi sekitar US$44 juta, platform tersebut pada 25 Oktober secara resmi mengakui bahwa akses tanpa izin ke infrastruktur dompet lama, ditambah kegagalan sistem pengumpulan dana otomatis, menyebabkan kerugian sebesar 15,99 juta USDT (sekitar US$16 juta). Sebelumnya, CEO Sumit Gupta secara terbuka membantah adanya serangan peretas baru dan menyebut peringatan terkait mungkin hanya «alarm palsu». Namun, penyelidik on-chain ZachXBT kemudian mempertanyakan pernyataan itu dengan menunjukkan catatan transaksi.

Co-founder sekaligus CEO Sumit Gupta pada 22 Oktober membantah peringatan on-chain tentang pencurian sekitar US$16 juta, dengan menyebut bahwa kejadian itu mungkin hanya «alarm palsu» (False Alarm). Namun, pada 25 Oktober bursa tersebut secara resmi mengakui bahwa sistem dompet lama mereka memang telah dieksploitasi, sehingga menyebabkan kerugian sekitar US$16 juta.

Yang lebih mengkhawatirkan, dompet-dompet ini sudah dinonaktifkan setelah insiden peretasan bursa pada 2025. Namun, CoinDCX tetap memproses dana pengguna yang keliru disetorkan ke alamat lama. Akibatnya, kegagalan sistem penyapuan otomatis membuat dana tertahan di alamat yang diketahui berisiko.

Mengapa masih ada 16 juta dolar di dompet lama yang sudah lama dinonaktifkan?

Menurut pernyataan resmi CoinDCX pada 25 Oktober, insiden ini dapat ditelusuri hingga 21 Oktober. Bursa menyatakan bahwa alamat yang terdampak merupakan bagian dari sistem dompet lama yang ditinggalkan setelah peretasan pada Juli 2025, tetapi sebagian pengguna masih mengirimkan dana ke alamat usang tersebut.

Dalam kondisi normal, CoinDCX terlebih dahulu mencatat dana yang masuk ke akun pengguna, lalu memindahkannya ke dompet aman melalui layanan penyapuan dana otomatis (Wallet Sweeping). Namun, mekanisme ini sempat tidak berfungsi dengan semestinya selama suatu periode, sehingga USDT dalam jumlah besar terus menumpuk di alamat lama dan akhirnya dipindahkan oleh pihak lain.

CoinDCX menyatakan bahwa perusahaan akan menanggung kerugian sebesar 15,99 juta USDT ini. Sistem perdagangan dan dompet yang saat ini digunakan tidak terdampak, sementara layanan penyetoran, penarikan, dan perdagangan pengguna tetap berjalan normal.

CEO awalnya menyangkal peretasan, ZachXBT secara terbuka mempertanyakan

Insiden ini pertama kali diungkap oleh penyelidik on-chain Darcy, yang menunjukkan adanya transfer tidak wajar sekitar 15,99 juta USDT dari dompet TRON terkait CoinDCX.

CEO CoinDCX Sumit Gupta kemudian menanggapi dengan menyatakan bahwa dompet yang saat ini digunakan tidak diretas. Menurutnya, transaksi tersebut mungkin hanya merupakan penggunaan kembali alamat lama yang telah diretas tahun lalu oleh peretas, dan insiden ini tampak seperti "alarm palsu".

Namun, penyelidik on-chain ZachXBT segera mengajukan bukti berbeda. Ia menunjukkan bahwa salah satu alamat yang terlibat masih digunakan oleh penyedia likuiditas setelah insiden keamanan pada Juli 2025, dan dana dari alamat tersebut ditransfer ke hot wallet CoinDCX yang saat ini digunakan pada April dan Mei 2026. ZachXBT pun mempertanyakan klaim platform bahwa "dompet lama sudah lama dinonaktifkan", karena klaim tersebut tidak sesuai dengan catatan transaksi on-chain yang sebenarnya.

CoinDCX akhirnya mengakui kerugian tersebut pada 25 Oktober. Perusahaan menyatakan bahwa penyelidikan terhadap infrastruktur lama memakan waktu, dan mengakui bahwa mereka seharusnya dapat menyampaikan informasi kepada publik dengan lebih proaktif.

Menurut penyelidikan on-chain Bitquery, penyerang memindahkan dana dari sekitar 40 alamat TRON terkait CoinDCX. Sekitar 15,82 juta USDT hilang dari satu alamat saja, atau hampir 99% dari total kerugian.

Penyelidikan menunjukkan bahwa penyerang memecah dana menjadi beberapa bagian untuk dipindahkan. Sekitar satu hari setelah insiden, sekitar 9,63 juta USDT dikirim ke alamat deposit di tiga bursa: sekitar 5,46 juta USDT ke OKX, sekitar 2,77 juta USDT ke Binance, dan sekitar 1,39 juta USDT ke Gate.

Bitquery melacak lebih lanjut dan menemukan bahwa Tether telah membekukan sembilan alamat terkait pada 22 Oktober, yang melibatkan sekitar 2,21 juta USDT. Namun, aliran dana ke bursa tidak berarti dana tersebut telah berhasil dicairkan. Saat ini, tujuan akhir seluruh aset yang dicuri belum dapat dipastikan.

Dua kali mengalami insiden keamanan siber, manajemen risiko bursa kembali diuji

CoinDCX pernah mengalami insiden keamanan siber senilai sekitar 44 juta dolar pada Juli 2025. Kini, sekitar 15 bulan kemudian, bursa kembali mengalami kerugian besar akibat masalah pada dompet lama dan proses penanganan dana internal.

Peringatan terbesar dari insiden ini bukan hanya soal keamanan kunci privat atau dompet, tetapi juga bahwa menonaktifkan dompet tidak berarti semua proses terkait ikut dihentikan. Selama alamat lama masih menerima dana dan sistem penyapuan otomatis serta pemantauan risiko tidak berfungsi secara efektif dan selaras, infrastruktur yang dianggap sudah tidak digunakan tetap dapat menjadi sasaran serangan.

Meski CoinDCX menegaskan bahwa perusahaan menanggung sendiri kerugian kali ini, saldo akun pelanggan dan aset di cold wallet yang disimpan secara terpisah tidak terdampak, serta layanan perdagangan, penyetoran, dan penarikan tetap beroperasi normal, identitas penyerang, metode pembobolan yang sebenarnya, dan alasan sistem manajemen risiko internal tidak mampu mencegah penumpukan dana tepat waktu masih perlu diselidiki lebih lanjut.

"CoinDCX Diguncang Kasus Peretasan Senilai 16 Juta Dolar! CEO Awalnya Menyebutnya 'Alarm Palsu', Tiga Hari Kemudian Mengakui Kerugian—Dompet Lama yang Diretas Ternyata Masih Menerima Uang?" Artikel ini pertama kali diterbitkan di (BlockTempo).