Nhà điều tra blockchain nổi tiếng ZachXBT đã khuyên người dùng sàn tiền mã hóa Ấn Độ CoinDCX rút tiền. Ông cáo buộc những người sáng lập sàn ban đầu phủ nhận khoản thất thoát khoảng 16 triệu USD, mãi sau mới thừa nhận.
“Hãy rút toàn bộ tiền khỏi CoinDCX nếu bạn coi trọng tài sản của mình,” ZachXBT viết trên X. Ông gọi những người đồng sáng lập sàn là “lũ hề điều hành một gánh xiếc”.
Mọi chuyện bắt đầu thế nào
Ngày 21 tháng 10, các công cụ theo dõi on-chain ghi nhận khoảng 15,99 triệu USD bằng USDT được chuyển khỏi một ví có liên hệ với CoinDCX. Số tiền này được chia nhỏ và gửi đến các địa chỉ nạp tiền trên Binance, OKX và Gate.
Đồng sáng lập CoinDCX Sumit Gupta nhanh chóng bác bỏ các thông tin này. Ông cho biết các địa chỉ đó đã cũ, bị xâm phạm trong vụ tấn công sàn giao dịch vào tháng 7 năm 2025 và không ví nào CoinDCX đang sử dụng bị xâm nhập. Ông gọi đây là báo động giả và đề nghị mọi người đừng lan truyền tin đồn.
ZachXBT phát hiện điều gì
ZachXBT cho biết ví đang được nhắc đến, có địa chỉ bắt đầu bằng “TQKJQ”, không bị bỏ không. Theo ông:
Một nhà cung cấp thanh khoản vẫn tiếp tục sử dụng ví này trong 10 tháng sau vụ tấn công tháng 7 năm 2025.
Ví này tiếp tục nhận tiền nạp của người dùng rồi chuyển đến ví nóng công khai hiện tại của CoinDCX, gần đây nhất là vào tháng 4 và tháng 5 năm 2026.
Điều đó có nghĩa là nhóm CoinDCX chưa hạch toán khoảng 15,8 triệu USD tiền nạp của người dùng.
Lời giải thích của CoinDCX
Sau đó, CoinDCX đăng thông tin cập nhật đầy đủ hơn. Công ty cho biết:
Ví này bị xâm phạm vào tháng 7 năm 2025 rồi được ngừng sử dụng; người dùng đã được thông báo không gửi tiền vào đó.
Dù vậy, một số người dùng vẫn tiếp tục nạp tiền vào địa chỉ cũ.
Một quy trình tự động được thiết kế để chuyển các khoản tiền nạp đó vào ví an toàn đã ngừng hoạt động trong một thời gian, và công ty chỉ phát hiện ra vào sáng ngày đăng thông tin cập nhật.
CoinDCX chịu các “tổn thất vận hành” phát sinh, đồng thời ghi có đầy đủ khoản tiền nạp của mọi người dùng bị ảnh hưởng.
Tài sản của khách hàng được lưu trong các ví lạnh riêng biệt và hoạt động giao dịch vẫn diễn ra bình thường.
Sàn giao dịch không công bố con số thiệt hại tính bằng USD.
Vì sao ZachXBT tức giận
ZachXBT cho biết CoinDCX đã phủ nhận vụ trộm cả công khai lẫn riêng tư trước khi xác nhận khoản thất thoát. Theo ông, điều đó có nghĩa là nhóm này “nói dối trắng trợn” hoặc “bất tài một cách tắc trách”. Ông xếp CoinDCX cùng với WazirX và BitBNS, hai sàn giao dịch khác của Ấn Độ từng gặp sự cố an ninh. Ông cũng cho biết mình vẫn giúp CoinDCX đóng băng một khoản tiền bị đánh cắp trị giá sáu chữ số.
Tài khoản theo dõi giao dịch trên chuỗi Onchain Lens cho biết số tiền này dường như đang được chuyển qua các dịch vụ ít tên tuổi và nền tảng trộn tiền. Tài khoản này nói thêm rằng số tiền bị rút gần như trùng khớp hoàn toàn với các khoản tiền người dùng đã nạp vào ví không được theo dõi.
Những câu hỏi vẫn chưa có lời giải
Những người chỉ trích trên X muốn có câu trả lời về ba vấn đề:
Vì sao quy trình chuyển tiền tự động bị lỗi lại có thể dẫn đến thiệt hại khoảng 15–16 triệu USD
Vì sao người dùng vẫn có thể gửi tiền đến một địa chỉ được cho là đã ngừng sử dụng
Vì sao sàn giao dịch không tự động chặn các địa chỉ nạp tiền cũ
CoinDCX đề nghị người dùng chỉ dựa vào các kênh chính thức của công ty để cập nhật thông tin.