L'échange de cryptomonnaies indien CoinDCX a nié les allégations d'une nouvelle faille de sécurité impliquant près de 16 millions de dollars de transferts de cryptomonnaies, bien que l'enquêteur blockchain ZachXBT ait contesté l'explication de l'entreprise concernant l'activité suspecte du portefeuille.
Résumé
- CoinDCX a nié les allégations d'un nouveau piratage de cryptomonnaies de 15,8 millions de dollars et a maintenu que les fonds des clients restent en sécurité.
- L'enquêteur blockchain ZachXBT a remis en question l'explication de l'échange, affirmant que les adresses de dépôt compromises ont continué à traiter des fonds après la faille de juillet 2025.
- Le différend fait suite à des allégations de transferts suspects d'USDT et de TRX, bien qu'aucune nouvelle faille de sécurité ni perte pour les clients n'ait été confirmée de manière indépendante.
- Le PDG de CoinDCX, Sumit Gupta, a déclaré que les adresses avaient été compromises lors du piratage de l'année dernière et que l'échange enquêtait sur les dernières allégations.
CoinDCX a déclaré dans un communiqué du 22 octobre que les affirmations circulant sur X étaient trompeuses car les transactions impliquaient des adresses de portefeuille créées en janvier 2025 et compromises lors de son incident de sécurité de juillet 2025.
L'échange a maintenu que les fonds des clients restaient en sécurité et que les adresses identifiées dans les dernières allégations ne faisaient plus partie de son infrastructure de portefeuille active.
Cependant, ZachXBT a contesté cette explication, affirmant qu'au moins une des adresses a continué à traiter des dépôts et à interagir avec les portefeuilles chauds actuels de CoinDCX plusieurs mois après la faille précédente.
Le désaccord fait suite aux allégations de l'enquêteur blockchain Darcy, qui a signalé des transactions impliquant environ 15,99 millions d'USDT et 5 783,81 TRX sur le réseau TRON.
CoinDCX conteste les allégations d'un autre piratage de 16 millions de dollars
Selon Darcy, les transactions suspectes ont eu lieu le 21 octobre vers 23h35 UTC+8, lorsque des fonds provenant de portefeuilles identifiés comme des adresses de dépôt et des portefeuilles chauds de CoinDCX ont été transférés vers une adresse TRON distincte.
L'enquêteur a identifié un transfert de 15 819 002 USDT comme la plus grande transaction individuelle et a affirmé que l'adresse de réception a ensuite distribué les fonds sur plusieurs portefeuilles.
Darcy a allégué qu'une partie des fonds a finalement atteint des adresses de dépôt associées à Binance, OKX, Gate et d'autres échanges de cryptomonnaies après être passée par plusieurs adresses intermédiaires.
Cependant, les conclusions de l'enquêteur n'ont pas établi de manière indépendante si les transferts étaient non autorisés ou si les portefeuilles de réception appartenaient à un attaquant.
En réponse aux allégations, le cofondateur et PDG de CoinDCX, Sumit Gupta, a rejeté les suggestions selon lesquelles l'échange aurait subi une autre faille.
« Les portefeuilles de CoinDCX ne sont pas compromis », a écrit Gupta, exhortant les utilisateurs à ne pas répandre de rumeurs pendant que l'entreprise examinait les transactions.
Gupta a expliqué que les adresses identifiées via Arkham Intelligence appartenaient auparavant à CoinDCX mais avaient été compromises lors de l'attaque de juillet 2025.
Selon le dirigeant, les attaquants semblaient réutiliser ces adresses, ce qu'il a décrit comme une possible fausse alerte.
Il a maintenu que l'échange avait vérifié ses adresses opérationnelles et clients actuelles et n'avait trouvé aucun transfert de ces portefeuilles vers les adresses impliquées dans les allégations.
Gupta a en outre cité les informations publiques de CoinDCX sur la preuve de réserves et déclaré que l'entreprise fournirait des détails supplémentaires au fur et à mesure de l'avancement de son enquête.
ZachXBT conteste CoinDCX au sujet de l'activité continue des portefeuilles
ZachXBT a ensuite remis en question la version de la plateforme d'échange, citant des transactions impliquant une adresse de dépôt identifiée comme TQKJQ sur la blockchain TRON.
L'enquêteur a affirmé que l'adresse était restée utilisée par un fournisseur de liquidité pendant environ 10 mois après l'incident de juillet 2025, bien que CoinDCX ait décrit les portefeuilles associés comme compromis.
Selon ZachXBT, l'adresse a continué de recevoir des dépôts et des transferts de gas aussi récemment qu'en avril et mai 2026, les fonds étant transférés vers des portefeuilles publiquement identifiés comme les portefeuilles chauds actuels de CoinDCX.
Il a soutenu que l'historique des transactions contredisait l'explication de l'entreprise selon laquelle les adresses n'étaient que des portefeuilles abandonnés réutilisés par des attaquants.
ZachXBT a en outre allégué qu'environ 15,8 millions de dollars de dépôts de clients n'avaient pas été comptabilisés par la plateforme d'échange.
La capture d'écran accompagnant sa publication montrait un transfert d'environ 15,819 millions d'USDT le 21 octobre, ainsi que plusieurs transactions plus petites impliquant de l'USDT et du TRX en mai 2026.
Cependant, les captures d'écran disponibles n'établissent pas de manière indépendante la propriété de chaque portefeuille, l'objet des transactions, ni si le montant signalé représente une perte client confirmée.
CoinDCX n'avait pas publiquement concilié l'historique spécifique des transactions cité par ZachXBT avec son explication au moment de la publication.
CoinDCX a déjà subi une violation de sécurité de 44 millions de dollars
Le différend fait suite à la violation de sécurité de juillet 2025 de CoinDCX, lorsque des attaquants ont volé environ 44 millions de dollars sur un compte de liquidité interne utilisé par la plateforme d'échange.
Comme crypto.news l'a précédemment rapporté, l'entreprise a attribué l'incident à une compromission sophistiquée de serveur et a maintenu que les actifs des clients détenus séparément en stockage à froid n'avaient pas été affectés.
CoinDCX a d'abord suspendu certains services par précaution, mais a ensuite rétabli ses opérations normales tout en enquêtant sur l'incident avec des spécialistes de la sécurité et les autorités indiennes.
L'entreprise a déclaré qu'elle absorberait les pertes via sa trésorerie et a ensuite annoncé un programme de prime à la récupération offrant jusqu'à 25 % des actifs récupérés, plafonné à 11 millions de dollars.
La plateforme d'échange avait précédemment établi un fonds de protection des clients en août 2024, allouant initialement environ 6 millions de dollars et s'engageant à consacrer 2 % de ses revenus de courtage à ce fonds.
Cette initiative faisait suite au piratage de WazirX de 230 millions de dollars, qui a affecté les actifs des clients et suscité des questions sur la manière dont les plateformes d'échange de cryptomonnaies indiennes géreraient les pertes résultant d'incidents de sécurité.
Lors de la violation de juillet 2025, CoinDCX a maintenu que ses portefeuilles opérationnels internes étaient distincts de l'infrastructure de conservation des clients, ce qui a permis à l'entreprise de couvrir les actifs volés sans répercuter les pertes sur les utilisateurs.
Dans sa dernière réponse, Gupta a déclaré que l'équipe continuait d'enquêter sur les transactions contestées et publierait de plus amples informations via les canaux de communication officiels de CoinDCX.
