O conhecido investigador de blockchain ZachXBT aconselhou os usuários da exchange indiana de criptomoedas CoinDCX a retirarem seu dinheiro. Ele acusou os fundadores da exchange de primeiro negarem uma perda de cerca de US$ 16 milhões e só admitirem o ocorrido mais tarde.
“Retirem todos os fundos da CoinDCX se vocês dão valor aos seus ativos”, escreveu ZachXBT no X. Ele chamou os cofundadores de “palhaços à frente de um circo”.
Como começou
Em 21 de outubro, rastreadores on-chain sinalizaram a transferência de cerca de US$ 15,99 milhões em USDT de uma carteira ligada à CoinDCX. O dinheiro foi dividido e enviado para endereços de depósito na Binance, OKX e Gate.
O cofundador da CoinDCX, Sumit Gupta, rejeitou rapidamente as notícias. Disse que os endereços eram antigos, comprometidos no ataque à exchange em julho de 2025, e que nenhuma das carteiras atuais da CoinDCX tinha sido violada. Chamou ao caso um falso alarme e pediu às pessoas que não espalhassem rumores.
O que ZachXBT descobriu
ZachXBT afirmou que a carteira em questão, cujo endereço começa por «TQKJQ», não tinha sido abandonada. Segundo ele:
Um fornecedor de liquidez continuou a usá-la durante 10 meses após o ataque de julho de 2025.
Continuou a receber depósitos de utilizadores e a transferi-los para a carteira pública quente atual da CoinDCX, ainda em abril e maio de 2026.
Isso significava que a equipa da CoinDCX não tinha contabilizado cerca de 15,8 milhões de dólares em depósitos de utilizadores.
A explicação da CoinDCX
Mais tarde, a CoinDCX publicou uma atualização mais detalhada. A empresa afirmou que:
A carteira foi comprometida em julho de 2025 e, mais tarde, desativada. Os utilizadores tinham sido avisados para não enviarem fundos para esse endereço.
Ainda assim, alguns utilizadores continuaram a depositar no endereço antigo.
Um processo automático destinado a transferir esses depósitos para carteiras seguras deixou de funcionar durante algum tempo, e a empresa só se apercebeu disso na manhã em que publicou a atualização.
As «perdas operacionais» resultantes foram suportadas pela CoinDCX, e os depósitos de todos os utilizadores afetados foram creditados.
Os ativos dos clientes são mantidos em carteiras frias separadas, e as operações de negociação decorrem normalmente.
A exchange não divulgou o valor da perda em dólares.
Porque é que ZachXBT está zangado
ZachXBT afirmou que a CoinDCX negou o roubo, tanto publicamente como em privado, antes de confirmar a perda. Na sua opinião, isso significa que a equipa «mentiu descaradamente» ou foi «negligentemente incompetente». Colocou a CoinDCX ao lado da WazirX e da BitBNS, outras duas exchanges indianas que enfrentaram problemas de segurança. Disse também que ainda ajudou a CoinDCX a congelar uma quantia de seis dígitos dos fundos roubados.
A conta de rastreamento on-chain Onchain Lens afirmou que os fundos parecem estar a circular por serviços pouco conhecidos e plataformas de mistura. Acrescentou que o montante desviado corresponde quase exatamente aos depósitos de utilizadores enviados para a carteira que não estava a ser monitorizada.
As questões que continuam em aberto
Os críticos no X querem respostas a três questões:
Como é que uma falha no processo de transferência dos fundos pode ter causado perdas de cerca de 15 a 16 milhões de dólares
Porque é que os utilizadores ainda podiam enviar dinheiro para um endereço que, supostamente, tinha sido desativado
Porque é que a exchange não bloqueou automaticamente os endereços de depósito antigos
A CoinDCX pediu aos utilizadores que acompanhem as atualizações apenas através dos seus canais oficiais.