A exchange indiana de criptomoedas CoinDCX está no centro de uma polêmica sobre segurança cibernética e gestão operacional! Após perder cerca de US$ 44 milhões em um ataque hacker em 2025, a plataforma admitiu oficialmente em 25 de outubro que perdeu 15,99 milhões de USDT (cerca de US$ 16 milhões) devido ao acesso não autorizado à antiga infraestrutura de carteiras, somado a uma falha no sistema automatizado de consolidação de fundos. Antes disso, o CEO Sumit Gupta havia negado publicamente um novo ataque hacker, afirmando que os alertas relacionados talvez fossem apenas um «falso positivo». Em seguida, o investigador on-chain ZachXBT contestou sua declaração com registros de transações.
O cofundador e CEO Sumit Gupta negou, em 22 de outubro, o alerta on-chain sobre o roubo de cerca de US$ 16 milhões, dizendo que poderia ser apenas um «alarme falso». No entanto, em 25 de outubro, a exchange admitiu oficialmente que o sistema antigo de carteiras havia sido explorado, causando um prejuízo de cerca de US$ 16 milhões.
O que chama ainda mais a atenção é que essas carteiras já tinham sido desativadas após o ataque à exchange em 2025. Ainda assim, a CoinDCX continuou a processar fundos de utilizadores enviados por engano para endereços antigos. No fim, uma falha no sistema de transferência automática de fundos deixou-os retidos em endereços que já se sabia estarem em risco.
Porque havia 16 milhões de dólares numa carteira antiga que já tinha sido desativada?
Segundo um comunicado oficial da CoinDCX, publicado a 25 de outubro, o incidente remonta a 21 de outubro. A exchange indicou que os endereços afetados pertenciam a um sistema de carteiras antigo, abandonado após o ataque de julho de 2025, mas alguns utilizadores continuaram a enviar fundos para endereços desatualizados.
Em circunstâncias normais, a CoinDCX credita primeiro os depósitos nas contas dos utilizadores e, depois, transfere-os para carteiras seguras através de um serviço automático de consolidação de fundos (Wallet Sweeping). No entanto, este mecanismo deixou de funcionar corretamente durante algum tempo, fazendo com que grandes quantidades de USDT continuassem a acumular-se em endereços antigos, de onde acabaram por ser desviadas.
A CoinDCX afirmou que a empresa assumirá a perda de 15,99 milhões de USDT. Os sistemas atuais de negociação e de carteiras não foram afetados, e os serviços de depósito, levantamento e negociação para os utilizadores continuam a funcionar normalmente.
CEO nega inicialmente o ataque; ZachXBT contesta publicamente
O incidente foi inicialmente revelado pelo investigador de blockchain Darcy, que assinalou uma transferência anómala de cerca de 15,99 milhões de USDT de uma carteira TRON associada à CoinDCX.
O CEO da CoinDCX, Sumit Gupta, respondeu pouco depois, afirmando que as carteiras atuais não tinham sido comprometidas e que as transações em causa poderiam dever-se a hackers que voltaram a usar endereços antigos, comprometidos no ano anterior. Disse ainda que o incidente parecia ser um «falso alarme».
Mas o investigador de blockchain ZachXBT apresentou de imediato provas diferentes, indicando que um dos endereços envolvidos continuou a ser utilizado por um fornecedor de liquidez após o incidente de segurança de julho de 2025 e que, em abril e maio de 2026, transferiu fundos para a carteira quente atual da CoinDCX. ZachXBT questionou, por isso, a afirmação da plataforma de que as «carteiras antigas já tinham sido desativadas», alegando que ela não correspondia aos registos reais das transações na blockchain.
A CoinDCX acabou por reconhecer a perda a 25 de outubro. Afirmou que a investigação da infraestrutura antiga levou tempo e admitiu que poderia ter comunicado a situação ao público de forma mais proativa.
Segundo uma investigação de blockchain da Bitquery, o atacante desviou fundos de cerca de 40 endereços TRON associados à CoinDCX. Um único endereço perdeu cerca de 15,82 milhões de USDT, quase 99% da perda total.
A investigação indica que o atacante dividiu os fundos e os transferiu. Cerca de um dia após o incidente, enviou aproximadamente 9,63 milhões de USDT para endereços de depósito de três exchanges: cerca de 5,46 milhões de USDT para a OKX, 2,77 milhões de USDT para a Binance e 1,39 milhões de USDT para a Gate.
A Bitquery apurou ainda que a Tether congelou nove endereços relacionados a 22 de outubro, contendo cerca de 2,21 milhões de USDT. No entanto, a entrada de fundos numa exchange não significa que tenham sido convertidos em dinheiro. Ainda não é possível confirmar o destino final de todos os ativos roubados.
Após dois incidentes de segurança, os controlos de risco da exchange voltam a ser postos à prova
A CoinDCX já tinha sofrido um incidente de segurança de cerca de 44 milhões de dólares em julho de 2025. Agora, cerca de 15 meses depois, voltou a sofrer perdas avultadas devido a problemas com carteiras antigas e processos internos de gestão de fundos.
O principal alerta deste incidente não diz respeito apenas à segurança das chaves privadas ou das carteiras: desativar uma carteira não significa desativar todos os processos relacionados com ela. Se os endereços antigos continuarem a receber fundos e os sistemas automáticos de consolidação e monitorização de riscos não funcionarem eficazmente em simultâneo, uma infraestrutura considerada desativada ainda poderá tornar-se alvo de ataques.
Embora a CoinDCX saliente que a empresa assumiu a perda e que os saldos das contas dos clientes e os ativos guardados em carteiras frias segregadas não foram afetados, e que os serviços de negociação, depósito e levantamento continuam a funcionar normalmente, a identidade do atacante, o método concreto de intrusão e as razões pelas quais os sistemas internos de controlo de risco não conseguiram impedir a acumulação de fundos a tempo ainda terão de ser investigados.
«Ataque à CoinDCX provoca perda de 16 milhões de dólares! CEO chama-lhe “falso alarme”, mas três dias depois admite a perda: porque é que a carteira antiga comprometida ainda recebia fundos?» Este artigo foi publicado originalmente em (區塊客).