La clave del incidente de CoinDCX radica en la brecha evidente entre "la billetera ha sido desactivada" y "los procedimientos relacionados de procesamiento de fondos siguen en funcionamiento".
Según un comunicado publicado por CoinDCX el 25 de octubre, la billetera involucrada pertenecía a una infraestructura operativa antigua que fue abandonada tras el incidente de seguridad de julio de 2025. Debido a que algunos usuarios seguían transfiriendo activos a direcciones obsoletas, la plataforma optó por seguir contabilizando los depósitos relacionados y luego, mediante un servicio automático de barrido, transferir los fondos a la billetera principal. Sin embargo, durante cierto período, el servicio automático de barrido no funcionó correctamente, lo que provocó que los fondos quedaran varados en las direcciones antiguas y, en última instancia, resultó en una pérdida de aproximadamente 15,99 millones de USDT.
Desde la perspectiva de la experiencia del usuario, este arreglo no es del todo irrazonable. Las transferencias de criptomonedas son irreversibles. Si los usuarios transfieren fondos a direcciones antiguas y el exchange simplemente abandona su procesamiento, los usuarios pueden enfrentarse al dilema de no poder recuperar sus activos. Seguir identificando direcciones antiguas y procesar los depósitos transferidos por error es, de hecho, un intento de lograr un equilibrio entre el servicio al usuario y la migración de infraestructura.
Pero aquí es también donde surge el problema: cuando un exchange decide seguir procesando fondos en direcciones antiguas, significa que no puede simplemente dejar de mostrar las direcciones y considerar que las responsabilidades de seguridad relacionadas han terminado. Mientras las direcciones antiguas aún puedan recibir activos, la plataforma debe aclarar quién es responsable de la monitorización, cómo se transfieren los fondos, cómo las anomalías activan alertas y qué medidas deben tomarse cuando el sistema de barrido falla.
En otras palabras, el hecho de que una billetera antigua ya no forme parte de los procesos comerciales normales no significa que haya salido del ámbito de la gestión de riesgos. Si la plataforma sigue contabilizando los depósitos relacionados pero no puede garantizar que los fondos se transfieran según lo esperado, entonces las direcciones antiguas de hecho siguen dentro de la cadena de responsabilidad operativa del exchange.
Esta es también la razón por la que este incidente merece la atención de la industria. Lo que los atacantes explotaron no fue solo una dirección de billetera con vulnerabilidades de seguridad, sino también las posibles brechas de gestión entre la retirada de billeteras, el procesamiento de depósitos de usuarios y el barrido automático.
De 44 millones de dólares a 16 millones, ¿por qué ha aparecido el riesgo nuevamente?
CoinDCX experimentó un incidente de seguridad de aproximadamente 44 millones de dólares en julio de 2025. La pérdida de aproximadamente 15,99 millones de USDT esta vez no es exactamente la misma situación que el incidente anterior, pero hay una conexión que vale la pena cuestionar: tras el incidente de seguridad anterior, ¿se aislaron suficientemente los riesgos de la infraestructura antigua y se rectificaron sistemáticamente los procedimientos relacionados de procesamiento de activos?
CoinDCX declaró que la billetera antigua involucrada había sido abandonada tras el incidente de 2025, pero esta investigación encontró que el servicio automático de barrido había fallado durante un período de tiempo, provocando la acumulación de fondos. La plataforma afirmó que la pérdida de esta vez será asumida por la empresa, que los sistemas actuales de trading y de billeteras no se han visto afectados, y que los saldos de fondos de los usuarios tampoco se han visto afectados.
Esto significa que los dos incidentes no pueden identificarse simplemente como el mismo tipo de ataque, ni puede afirmarse directamente, en ausencia de un informe forense completo, que toda la arquitectura de seguridad de la plataforma haya fallado sistemáticamente. Sin embargo, la aparición repetida de riesgos importantes relacionados con billeteras antiguas es suficiente para que observadores externos se pregunten: ¿la rectificación de seguridad anterior solo reemplazó algunas direcciones y sistemas, o ya ha cubierto los procesos completos de gestión de claves, monitorización de direcciones históricas, manejo de depósitos anómalos y barrido de fondos?
En las operaciones diarias de los exchanges centralizados, el sistema de billeteras generalmente no es un conjunto de direcciones independientes, sino una arquitectura compleja que involucra direcciones de depósito, servicios de barrido, billeteras calientes, billeteras frías, proveedores de liquidez y sistemas de contabilidad internos. Los problemas en cualquiera de estos eslabones pueden afectar el flujo de fondos. Si la rectificación de seguridad se centra solo en reemplazar claves o migrar billeteras activas, sin limpiar simultáneamente los permisos históricos, desactivar los servicios relacionados y monitorizar continuamente las direcciones antiguas, los riesgos pueden reaparecer de diferentes formas.
Más notable aún, los sistemas automatizados en sí mismos no son inherentemente equivalentes a la seguridad. El barrido automático puede reducir las operaciones manuales y mejorar la eficiencia del procesamiento de fondos, pero una vez que las interrupciones del servicio, los retrasos en las tareas o los estados anómalos pasan desapercibidos, las herramientas originalmente destinadas a reducir los costos operativos también pueden convertirse en canales de acumulación de riesgos.
Por lo tanto, lo que este incidente realmente pone a prueba no es si el exchange tiene carteras frías, sino si puede demostrar que todo el ciclo de vida de los fondos se encuentra en un estado que sea monitoreable, rastreable y sujeto a intervención oportuna.
¿Por qué los datos on-chain tienen más peso que una respuesta verbal inmediata?
Otra pista importante en el incidente es la brecha temporal entre la respuesta inicial de CoinDCX a las transferencias anómalas y su posterior declaración formal.
El 22 de octubre, el CEO Sumit Gupta respondió a una alerta de transferencia anómala planteada por un investigador on-chain, diciendo que la dirección involucrada pertenecía a una cartera antigua afectada en el incidente de seguridad de 2025 y que la alerta podría ser un "falso positivo". Posteriormente, el investigador on-chain ZachXBT planteó dudas, señalando que al menos una de las direcciones involucradas seguía siendo utilizada por un proveedor de liquidez después del incidente de julio de 2025 y había transferido fondos a la cartera caliente actual de CoinDCX en abril y mayo de 2026. CoinDCX finalmente reconoció el 25 de octubre que había habido problemas con la infraestructura antigua y reveló el monto de la pérdida.
Este proceso refleja un cambio cada vez más evidente en la industria cripto: el libro mayor público on-chain está cambiando la relación informativa entre los exchanges y el mercado.
El flujo de fondos en las instituciones financieras tradicionales suele depender de libros contables internos, informes de auditoría y divulgaciones regulatorias, lo que dificulta que los observadores externos comprendan de inmediato las rutas específicas de las transacciones después de que ocurre un incidente. En un entorno de cadena pública, sin embargo, el momento de la transferencia, el monto, el hash de la transacción y los flujos de fondos entre direcciones pueden ser rastreados continuamente por investigadores externos. Aunque los controladores reales detrás de las direcciones pueden no ser identificables directamente, los datos públicos son suficientes para poner a prueba algunas explicaciones de las instituciones.
Esto no significa que todo juicio de los investigadores on-chain sea necesariamente correcto. Los registros on-chain pueden probar cuándo y cuánto se transfirió un activo, pero no necesariamente prueban por sí solos quién controlaba la dirección, cómo se contabilizaron los fondos dentro del exchange o cómo se formó la vulnerabilidad específica. Por lo tanto, determinar la naturaleza del incidente aún requiere combinar las declaraciones de la plataforma, las investigaciones técnicas y los registros contables internos.
Pero para los exchanges, la información on-chain ya no es solo una herramienta para rendir cuentas después de los hechos; también puede convertirse en una base importante para que el mercado juzgue el riesgo. Cuando los datos públicos difieren significativamente de la explicación inicial de una institución, la institución necesita proporcionar evidencia más clara y una línea de tiempo, en lugar de depender solo de una breve respuesta verbal.
Desde la perspectiva de la comunicación de crisis, reconocer en la primera oportunidad que una investigación aún no se ha completado es un enfoque diferente de caracterizar directamente una señal anómala como un falso positivo. El primero preserva espacio para la verificación posterior, mientras que el segundo puede consumir la confianza del mercado antes de que se aclaren los hechos. CoinDCX también reconoció posteriormente que la investigación sobre la infraestructura antigua tomó algún tiempo y que la plataforma podría haber sido más proactiva al explicar la situación al mundo exterior.
Para los exchanges, la transparencia no requiere publicar todos los detalles técnicos en la etapa inicial de una investigación, pero sí requiere distinguir claramente los hechos confirmados, las inferencias que aún esperan verificación y las medidas que la plataforma está tomando.
¿A dónde fueron los 15,99 millones de USDT? Rastrear fondos no es lo mismo que recuperar activos
Según una investigación de la firma de análisis de datos blockchain Bitquery, los atacantes transfirieron aproximadamente 15,99 millones de USDT desde unas 40 direcciones de TRON asociadas con CoinDCX, de los cuales alrededor de 15,82 millones de USDT provinieron de una sola dirección, lo que representa la gran mayoría de la pérdida total. La investigación también mostró que, después de ser transferidos, los fondos se dividieron y movieron a través de múltiples direcciones, con aproximadamente 9,63 millones de dólares ingresando a direcciones de depósito asociadas con OKX, Binance y Gate.
Esta ruta de fondos tiene importancia en dos aspectos.
Primero, la división de fondos no significa que el rastreo en cadena se haya vuelto ineficaz. Incluso si los activos se transfieren a través de múltiples direcciones intermedias, los registros de transacciones permanecen en la cadena de bloques, y los investigadores pueden reconstruir parte del flujo de fondos basándose en la correlación de tiempo, cantidad y direcciones. Si los activos ingresan a plataformas de trading centralizadas con mecanismos de identificación de clientes, las direcciones de depósito relacionadas también pueden proporcionar pistas para investigaciones posteriores.
Pero segundo, el rastreo en cadena no es lo mismo que los fondos hayan sido recuperados. Los activos que ingresan a la dirección de depósito de una plataforma de trading solo indican que los fondos fluyeron hacia la dirección relevante; no prueba directamente que la plataforma de trading haya identificado al controlador final, ni prueba que todos los activos hayan sido congelados o devueltos. El resultado final aún depende de la cooperación de la plataforma, la identificación de cuentas, los procedimientos de aplicación de la ley y las investigaciones posteriores.
Para las stablecoins emitidas centralmente como USDT, el emisor puede, en cumplimiento de sus propias políticas y los requisitos legales aplicables, congelar direcciones específicas. Sin embargo, si es posible el congelamiento, cuándo ocurre y si el monto congelado cubre todas las pérdidas requieren el respaldo de evidencia específica. No se puede asumir que el proceso de recuperación se ha completado simplemente porque algunos fondos ingresaron a los exchanges.
Esto también muestra que el impacto de los incidentes de seguridad de los exchanges a menudo se extiende más allá de la plataforma donde ocurrió inicialmente el problema. Cuando los fondos fluyen hacia otros exchanges, pasan por billeteras intermedias o ingresan a canales cross-chain, el incidente puede convertirse en un problema colaborativo que involucra a múltiples instituciones. La recuperación de activos depende no solo de la capacidad de investigación de la propia plataforma víctima, sino también del intercambio de información y la velocidad de respuesta en toda la industria.
Para los usuarios, la transparencia en cadena puede mejorar la observabilidad de un incidente, pero no puede eliminar el riesgo de pérdida de activos. Los registros públicos ayudan a rastrear fondos, pero no pueden reemplazar el control de riesgos ex ante.
¿Qué tipo de verificación se necesita todavía para la promesa de que los fondos de los usuarios no se verán afectados?
CoinDCX enfatizó que la pérdida esta vez será asumida por la empresa, que los saldos de las cuentas de los usuarios, las billeteras actuales y los sistemas de trading no se han visto afectados, y que los servicios de depósito, retiro y trading de la plataforma también permanecen normales.
Esta declaración es importante, pero el mercado aún necesita distinguir tres niveles diferentes: si el saldo mostrado en las cuentas de los usuarios está completo, si la plataforma tiene activos reales suficientes para cubrir los pasivos relevantes, y por qué los fondos en la dirección antigua involucrada permanecieron estancados durante mucho tiempo.
Bajo el modelo operativo de los exchanges centralizados, los saldos de las cuentas de los usuarios generalmente reflejan los registros contables internos de la plataforma y no significan que cada activo del usuario corresponda uno a uno con una dirección independiente en cadena. Por lo tanto, incluso si los saldos de los usuarios permanecen sin cambios, todavía es necesario confirmar la relación entre los activos reales de la plataforma y los pasivos de los usuarios mediante la conciliación contable interna, la prueba de activos y auditorías independientes.
CoinDCX declaró que asumirá las pérdidas, lo que significa que la plataforma necesita utilizar sus propios recursos para absorber esta brecha de financiamiento. Sin embargo, si este compromiso puede obtener un reconocimiento sostenido del mercado aún depende de si las divulgaciones posteriores son suficientes, incluido cómo se registran las pérdidas, en qué etapa falló el servicio de recolección, por qué la dirección antigua continuó recibiendo fondos y si las medidas de control relevantes han sido reparadas.
Lo que es especialmente cuestionable es por qué la plataforma pudo continuar acreditando depósitos a la dirección antigua pero no pudo descubrir oportunamente la anomalía de que los fondos no fueron recolectados. Si un depósito ya ha ingresado a una cuenta de usuario, pero los activos correspondientes permanecen durante mucho tiempo en una dirección de riesgo, entonces si existe un mecanismo de conciliación suficientemente oportuno entre la contabilidad interna y los activos en cadena se convierte en una pregunta que necesita ser respondida.
Esto no es una negación directa del compromiso de CoinDCX con la seguridad de los fondos de los usuarios, sino más bien un énfasis en que después de una pérdida que involucra decenas de millones de dólares, simplemente declarar que "los activos de los usuarios no se ven afectados" no es suficiente para completar la explicación del riesgo. Un enfoque más convincente es proporcionar explicaciones contables verificables, los resultados de la rectificación del sistema y medidas de control que puedan demostrar que anomalías similares ya no continuarán acumulándose.
La competencia en seguridad de los exchanges está pasando de la protección de billeteras a la gobernanza de procesos completos
La tendencia de la industria reflejada por el incidente de CoinDCX es que los criterios de evaluación de la seguridad de los exchanges están pasando de la protección de claves en un solo punto a una gobernanza operativa más completa.
En el pasado, cuando el mercado discutía la seguridad de los exchanges, a menudo se centraba primero en si las claves privadas se almacenaban fuera de línea, si las carteras calientes tenían límites establecidos, si se implementaba la multifirma y si los activos de la cartera fría estaban aislados del sistema de trading. Estas medidas siguen siendo importantes, pero abordan principalmente algunos de los problemas en la custodia de activos y no pueden cubrir automáticamente áreas como la gestión de direcciones antiguas, la recolección anómala de fondos, la dependencia de servicios de terceros, los permisos internos y la comunicación de incidentes.
Un sistema de seguridad más maduro debería incorporar a la gestión todo el proceso de las carteras, desde su creación, activación y migración hasta su desactivación. Para las direcciones que han sido abandonadas pero que aún pueden recibir activos, la plataforma necesita aclarar las responsabilidades de monitoreo, establecer umbrales de saldo anómalo y activar alertas e intervención manual cuando falle el servicio automatizado de recolección. Si una dirección antigua ya no cuenta con las condiciones para un manejo seguro, la plataforma también necesita establecer límites de riesgo claros entre las notificaciones a los usuarios, la identificación de depósitos y la disposición de activos.
Al mismo tiempo, los sistemas automatizados deben tener capacidades para la detección de fallos, el monitoreo de tareas acumuladas y la auditoría de flujos de fondos anómalos. No debe juzgarse si un sistema opera con normalidad únicamente por si el servicio está en línea; también es necesario confirmar si las tareas comerciales clave se completan realmente. Para los exchanges, el proceso de transferir fondos desde las direcciones de depósito de los usuarios a las carteras objetivo debe contar con registros de estado que puedan verificarse de forma independiente.
Por último, la gobernanza de la seguridad también necesita formar un circuito cerrado con la divulgación externa. Cuando ocurren transacciones anómalas, la plataforma debe proteger oportunamente los activos existentes y también explicar a los usuarios lo antes posible el alcance del incidente, las pérdidas confirmadas, los sistemas afectados y el progreso de la investigación. La comunicación oportuna no puede sustituir la remediación técnica, pero puede reducir el costo de confianza causado por la propagación continua de la incertidumbre.
La pérdida de CoinDCX esta vez fue de aproximadamente 15,99 millones de USDT. El monto ciertamente es digno de mención, pero el impacto a largo plazo del incidente puede depender más de cómo la plataforma explica y repara los riesgos dejados por la infraestructura antigua. Para toda la industria del trading de criptomonedas, esto también es un recordatorio: la seguridad no termina cuando se completa la migración de carteras; más bien, es necesario garantizar que cada dirección, servicio y proceso interno que aún pueda entrar en contacto con los activos de los usuarios esté dentro de un ámbito claro de responsabilidad y control.
A medida que los exchanges continúan ampliando la escala de usuarios, añadiendo tipos de activos y aumentando la automatización, la verdadera capacidad de seguridad se refleja no solo en dónde se custodian los fondos, sino también en si las anomalías pueden descubrirse, bloquearse, verificarse y explicarse al mercado de manera verificable después de que ocurran. Si CoinDCX puede reconstruir la confianza dependerá en última instancia de si las investigaciones y rectificaciones posteriores pueden responder a estas preguntas, y no meramente de quién asume una única pérdida.
