Известный исследователь блокчейна ZachXBT призвал пользователей индийской криптобиржи CoinDCX вывести свои средства. Он обвинил основателей биржи в том, что сначала они отрицали потерю примерно 16 млн долларов, а признали её лишь позднее.
«Если вам дороги ваши активы, выведите все средства с CoinDCX», — написал ZachXBT в X. Сооснователей биржи он назвал «клоунами, которые руководят цирком».
Как всё началось
21 октября отслеживающие блокчейн-транзакции сервисы отметили перевод около 15,99 млн долларов в USDT из кошелька, связанного с CoinDCX. Средства разделили на части и отправили на адреса для пополнения на Binance, OKX и Gate.
Сооснователь CoinDCX Сумит Гупта быстро опроверг эти сообщения. Он заявил, что речь идёт о старых адресах, скомпрометированных во время взлома биржи в июле 2025 года, и что ни один из нынешних кошельков CoinDCX не был взломан. Он назвал это ложной тревогой и попросил людей не распространять слухи.
Что обнаружил ZachXBT
По словам ZachXBT, рассматриваемый кошелёк, адрес которого начинается с «TQKJQ», не был заброшен. Он утверждает, что:
Поставщик ликвидности продолжал пользоваться им в течение 10 месяцев после взлома в июле 2025 года.
На него продолжали поступать пользовательские депозиты, которые затем переводились на нынешний общедоступный горячий кошелёк CoinDCX — вплоть до апреля и мая 2026 года.
Это означало, что команда CoinDCX не отчиталась примерно о 15,8 млн долларов пользовательских депозитов.
Объяснение CoinDCX
Позже CoinDCX опубликовала более подробное заявление. В нём говорилось:
Кошелёк был скомпрометирован в июле 2025 года, а затем выведен из эксплуатации; пользователей предупреждали, чтобы они не переводили на него средства.
Некоторые пользователи всё равно продолжали отправлять депозиты на старый адрес.
Автоматический процесс перевода этих депозитов в защищённые кошельки на какое-то время перестал работать, и компания обнаружила это лишь утром в день публикации заявления.
Возникшие в результате «операционные убытки» покрыла CoinDCX, а депозиты всех затронутых пользователей были зачислены на их счета.
Средства клиентов хранятся отдельно в холодных кошельках, а торговля идёт в обычном режиме.
Биржа не назвала сумму убытка в долларах.
Почему ZachXBT возмущён
ZachXBT заявил, что CoinDCX отрицала кражу и публично, и в частном порядке, прежде чем признать убытки. По его мнению, это означает, что команда «просто солгала» или проявила «халатную некомпетентность». Он поставил CoinDCX в один ряд с WazirX и BitBNS — двумя другими индийскими биржами, сталкивавшимися с проблемами безопасности. Он также сообщил, что всё же помог CoinDCX заморозить украденные средства на шестизначную сумму.
Аккаунт Onchain Lens, отслеживающий транзакции в блокчейне, сообщил, что средства, по всей видимости, проходят через малоизвестные сервисы и платформы для смешивания криптовалют. Там добавили, что сумма выведенных средств почти в точности совпадает с объёмом пользовательских депозитов, отправленных на неподконтрольный кошелёк.
Какие вопросы остаются открытыми
Критики в X требуют ответов на три вопроса:
Как сбой процесса автоматического перевода средств мог привести к убыткам примерно в 15–16 млн долларов
Почему пользователи всё ещё могли отправлять деньги на адрес, который, как утверждалось, был выведен из эксплуатации
Почему биржа автоматически не блокировала старые адреса для пополнения
CoinDCX попросила пользователей следить за обновлениями только в официальных каналах компании.