Гаманці мали належати минулому CoinDCX. Після порушення безпеки в липні 2025 року індійська біржа замінила скомпрометовану інфраструктуру та повідомила клієнтам використовувати нові адреси для депозитів. Однак деякі клієнти продовжували надсилати кошти на старі, і компанія продовжувала зараховувати їх на їхні рахунки, тоді як окремий сервіс виводив монети. У жовтні цей другий крок не спрацював.
Короткий зміст
- CoinDCX заявляє, що 15,99 млн USDT було втрачено після того, як депозити накопичилися на застарілих гаманцях, коли його автоматизований сервіс збору коштів перестав працювати протягом невизначеного періоду.
- Біржа заявляє, що зараховувала кошти клієнтам, коли гроші надходили, і сама взяла на себе збитки, залишивши їхні відображені баланси, активні гаманці та торгові системи незмінними.
- Bitquery відстежила 40 постраждалих адрес TRON, включаючи одну, що містила приблизно 15,82 млн USDT з 88 депозитів, які не були переміщені далі.
- Близько 9,63 млн USDT надійшло на адреси, пов'язані з іншими біржами, і Tether заморозив приблизно 2,21 млн USDT, згідно з датованим відстеженням Bitquery.
- CoinDCX публічно не уточнила, як довго тривав збій збору коштів, як були викрадені активи або чи було відновлено якісь із заморожених коштів.
Адреса криптовалюти не втрачає чинності, коли біржа її виводить з використання. Хтось може зберегти її у формі для виведення коштів, скопіювати зі старого повідомлення або автоматизувати перекази на неї протягом місяців. Блокчейн прийме транзакцію, навіть якщо поточний додаток біржі відображає інший пункт призначення. CoinDCX вирішила визнавати ці депозити для своїх клієнтів і збирати фактичні монети в нове кастодіальне зберігання. Цей вибір захистив людей від втрати помилкового депозиту, залишивши шлях через стару інфраструктуру.
Пояснення компанії від 25 жовтня свідчить, що цей шлях зламався. Воно не встановлює кожен крок несанкціонованого переказу, і сторонній читач не може побачити внутрішній реєстр біржі. Видимий результат — надзвичайно повчальний збій кастодіального зберігання: клієнти могли мати зарахований баланс у додатку, тоді як відповідний депонований USDT залишався на адресі, яка вже вважалася небезпечною. Те, як цю прогалину було виявлено, профінансовано та закрито, має значення поза межами заголовкової втрати.
Виведена з використання адреса все ще мала роботу
CoinDCX заявляє, що клієнти продовжували вносити депозити на адреси, виведені з використання після інциденту в липні 2025 року, незважаючи на вказівки використовувати нові. Коли надходив переказ, біржа негайно зараховувала його на портфель клієнта. Окремий автоматизований сервіс збору коштів мав переміщати криптовалюту зі старої адреси до безпечного гаманця. Клієнту не потрібно було чекати на цей другий переказ, щоб використовувати зарахований баланс.
Конструкція містить компроміс. Якби CoinDCX відмовилася визнавати переказ на стару адресу, клієнт, який повторно використав збережені інструкції, міг би виглядати так, ніби втратив гроші. Зарахування спочатку швидко дає людині баланс на рахунку, але компанія бере на себе відповідальність за переміщення або заміну фактичних монет. Якщо збір коштів не вдається, зобов'язання на балансі біржі можуть зростати, навіть коли монети залишаються у вразливих гаманцях.
Тому те, що стара адреса є «застарілою», може означати дві різні речі. Вона може більше не відображатися новим користувачам або не призначатися для рутинних операцій. Вона все ще може приймати депозити в блокчейні, контролюватися біржею та використовуватися в процесі відновлення. Початкова суперечка 22 жовтня оберталася навколо цієї різниці. Керівники CoinDCX казали, що адреси були старими, тоді як слідчі вказували на продовження руху між ними та операційними гаманцями біржі. Пізніше пояснення компанії визнало, що процес продовжував обробляти депозити там.
Спокусливо назвати кожен рух через виведену з використання адресу звичайним активним використанням або вважати «виведену з використання» доказом того, що гроші не могли надійти. Жоден із цих описів не відображає схему, яку тепер описала CoinDCX. Ці адреси не були пунктами призначення, які її застосунок хотів, щоб користувачі обирали. Їх усе ще моніторили, клієнтам зараховували депозити, і біржа підтримувала сервіс, призначений для подальшого переміщення активів. Такий сервіс повинен працювати послідовно, якщо фірма бере на себе ризик збитків клієнта.
Гроші накопичувалися, поки збір коштів не працював
CoinDCX заявляє, що її автоматизований сервіс збору коштів не працював «протягом певного періоду», що дозволило депозитам накопичуватися. Вона не повідомила, коли почався збій, чи спрацьовували сповіщення, скільки клієнтів було залучено або чому великий непереміщений баланс не спричинив втручання до 21 жовтня. Ці відсутні деталі ускладнюють оцінку того, чи тривала вразливість години, тижні чи довше.
Дослідження транзакцій TRON від Bitquery нарахувало 40 спустошених гаманців і віднесло 15,82 млн USDT із загальних 15,99 млн до однієї депозитної адреси. Його аналіз показав, що велика адреса містила 88 депозитів від одного вкладника, жоден з яких не було переміщено з березня. Якщо атрибуція правильна, інтервал між цими депозитами та вилученням у жовтні був набагато довшим за коротку затримку, яку клієнт міг би очікувати від автоматизованого збору коштів. Блокчейн може показати перекази та баланси; він сам по собі не може показати, чи був кожен депозит зарахований клієнту або як оброблялося внутрішнє сповіщення моніторингу.
Bitquery також дослідив невеликі платежі TRX, необхідні для переміщення USDT у мережі TRON. Він виявив поповнення комісій на постраждалі депозитні адреси, за якими йшли рутинні перекази, включно з активністю 21 жовтня. Біржа повинна поповнити адресу нативним токеном мережі, коли хоче, щоб ця адреса надсилала USDT. Повторюваний патерн допомагає пояснити, чому дослідники оскаржили твердження, що гаманці були просто покинуті. Він не встановлює, хто отримав засоби для їх спустошення, і не доводить початкове джерело кожного депозиту.
CoinDCX заявляє, що помітила незвичайну активність у своїх системах 21 жовтня і побачила нерегулярні ончейн-рухи наступного дня, а повідомлення від її спільноти спонукали до глибшого розслідування. Компанія каже, що негайні заходи контролю запобігли впливу на активні гаманці та торгову інфраструктуру. Її розкриття від 25 жовтня потім підтвердило втрату 15,99 млн USDT. Це описи компанією виявлення та локалізації; публічний ланцюг надає запис транзакцій, але не внутрішні журнали подій компанії.
Баланс клієнта та баланс гаманця — це різні речі
Клієнт біржі зазвичай бачить запис на рахунку, а не конкретну монету, що лежить в окремій блокчейн-адресі, призначеній виключно йому. Заявлена політика CoinDCX щодо старих адрес зараховувала рахунок користувача щойно надходив депозит. Потім біржа була винна клієнту суму, показану на рахунку, незалежно від того, чи був її окремий збір коштів затриманий. Коли активи зникали зі старого гаманця, збиток могла нести компанія, якщо вона надавала заміну коштів.
CoinDCX каже, що зробила саме це.Її підтвердженийзвіт про збитки каже, що компанія поглинула 15,99 млн USDT і підтримує твердження, що баланси клієнтів, активні гаманці та операції не постраждали. Це суттєва відмінність від біржі, яка перекладає збитки на вкладників або зупиняє виведення коштів. Це також твердження, яке заслуговує на подальшу перевірку за допомогою даних звірки, резервів і виведення коштів, оскільки зовнішній спостерігач не може перевірити всі зобов’язання перед клієнтами, просто переглянувши адреси, задіяні у спустошенні.
Обліковий запис біржі не робить відсутні кошти уявними. Клієнт все ще може мати повний зарахований баланс, тоді як компанія оплатила крадіжку або операційний збиток. Фінансово фірма повинна заповнити прогалину з власних активів або відшкодувати викрадені монети. Її здатність зробити це слід оцінювати за датованими фінансовими розкриттями та розкриттями доказів резервів, а також за тим, чи продовжують виводи коштів розраховуватися, а не лише за фразою «кошти в безпеці».
CoinDCX раніше оголосила фонд захисту клієнтів з початковим виділенням близько 6 мільйонів доларів у 2024 році. Існування цієї програми не показує, що вона профінансувала збиток жовтня 2026 року, який є більшим за початкове виділення. Компанія заявляє, що вона поглинула дефіцит. Прозорий подальший крок мав би вказати, чи надійшло заміщення зі звичайних казначейських активів, спеціального резерву, страхування чи відшкодувань, не вимагаючи від клієнтів виводити джерело фінансування з назви старої програми.
Клієнти, які зберегли стару адресу, повинні оновити свої платіжні інструкції. У публічному ланцюжку відправник все ще може транслювати на старе призначення, і мережа не знатиме, що зараз рекомендує застосунок CoinDCX. Біржа заявляє, що підтримка застарілих адрес є тимчасовою. Якщо ця підтримка припиниться, обробка пізнішого випадкового депозиту може змінитися. Поточна адреса в застосунку біржі — це єдина, на яку клієнт повинен покладатися для нового переказу, з перевіркою активу та мережі під час відправлення.
Відстеження USDT не ідентифікує злодія
Bitquery простежила приблизно 9,63 мільйона USDT через проміжні гаманці до адрес депозиту, які вона пов'язала з OKX, Binance та Gate, протягом 18 годин після основного переказу. Платіж, що надходить на адресу, пов'язану з біржею, може дати слідчим місце для запиту записів або співпраці. Це не є доказом того, що названа біржа здійснила крадіжку, схвалила її або все ще утримує всі гроші. Атрибуція адрес сервісів також може бути переглянута.
Те саме дослідження повідомило, що Tether заморозила близько 2,21 мільйона USDT у дев'яти гаманцях 22 жовтня. Заморожування може перешкодити переміщенню цих конкретних токенів, але це не те саме, що реституція CoinDCX. Відшкодування може вимагати юридичного процесу, координації з емітентом та підтвердження права власності. Початкова заява компанії не оголошувала про відновлені активи. Повідомлення про заморожену суму як про вже повернені гроші перебільшило б те, що відомо.
Публічний запис розкриває розмір і шлях транзакцій набагато легше, ніж метод компрометації. CoinDCX посилалася на невідомі вразливості у своїй застарілій інфраструктурі. Вона не повідомила, чи жовтневий збиток стався через ключі, викриті у 2025 році, пізніший збій доступу чи якийсь інший шлях. Bitquery прямо заявила, що її аналіз не міг показати, як особа, що переміщувала кошти, отримала ключі. Точна технічна причина потребує звіту оператора після інциденту, бажано з незалежним оглядом.
Одна адреса, що утримує 15,82 мільйона USDT, робить час особливо важливим. Якби монети були зметені, коли вони надходили, цей баланс не залишався б на цій адресі в момент вичерпання. Такий контрфактичний сценарій не доводить, що крадіжку було б повністю відвернено, оскільки гаманець призначення та засоби контролю доступу також мали б значення. Це пояснює, чому невдача зметувача не є другорядною деталлю: вона визначила, скільки вартості перебувало на скомпрометованому шляху.
Порушення 2025 року було іншим інцидентом
Звіт про інцидент від липня 2025 року описував збиток приблизно 44 мільйони доларів з внутрішнього операційного рахунку, що використовувався для забезпечення ліквідності на біржі-партнері. CoinDCX заявила, що активи клієнтів у відокремлених холодних гаманцях не постраждали, і що вона покрила ризик зі своєї казни. Новий збиток у 15,99 мільйона USDT є окремою подією жовтня 2026 року, що стосується депозитів, які надходили на інфраструктуру, виведену з експлуатації після того попереднього порушення.
Цей зв'язок має значення, оскільки сама CoinDCX заявляє, що стара інфраструктура була скомпрометована. Щойно адреса або її оточення вважаються скомпрометованими, подальше врятування депозитів через неї вимагає особливо ретельного моніторингу та швидкого переміщення коштів. Старий інцидент не може довести, що повернувся той самий зловмисник, і жоден переглянутий публічний доказ не встановлює особу, яка стоїть за жовтневими переказами. Спільна історія інфраструктури все ж порушує просте операційне питання: чому там залишилося так багато грошей після того, як про небезпеку стало відомо?
У 2025 році біржа також говорила про перепроєктування безпеки та відокремлення гаманців клієнтів від операційних рахунків. Тодішнє висвітлення злому сервера описувало заявлену ізоляцію першої втрати. Другий інцидент показує, що відокремлення основного кастодіального зберігання — це лише частина роботи. Депозити проходять через адреси та автоматизовані сервіси, перш ніж потрапити до цього сховища. Старий маршрут надходження може спричинити втрату, навіть якщо основні холодні гаманці залишаються недоторканими.
Після першого інциденту торгівля та виведення рупій відновилися, і компанія підтвердила, що візьме на себе збитки. Поточне запевнення має ту саму клієнтську форму, хоча механізм відрізняється. У липні 2025 року було зламано внутрішній рахунок ліквідності. У жовтні 2026 року заявленою несправністю був сервіс, який мав збирати депозити, що надходять на виведену з експлуатації інфраструктуру. Порівняння двох інцидентів вимагає відокремлення цих механізмів; той факт, що обидва коштували компанії грошей, не є доказом єдиного зловмисника чи повторного шляху експлуатації.
Це не означає, що клієнти зазнали прямого списання коштів. Це означає, що компанія зазнала збитків, виконуючи зобов'язання щодо кредиту, який, за її словами, вона вже надала їм. Обидва твердження можуть бути правдивими одночасно. Їх легко розмивають заголовки, які називають подію або нешкідливим рухом у старому гаманці, або доведеним дефіцитом балансу клієнтів. CoinDCX визнала реальні збитки компанії та заперечила вплив на баланси клієнтів; публічні дані не вирішують усіх залишкових бухгалтерських питань.
Чому перше заперечення має значення
Коли слідчі вперше поширили інформацію про перекази, CoinDCX заявила, що її поточні гаманці не були зламані, і припустила, що старі адреси можуть давати хибну тривогу. Заява стосувалася частини занепокоєння, а саме того, чи була спустошена основна активна інфраструктура, але вона не пояснювала, чому кошти на старих адресах, схоже, були викрадені. До 25 жовтня компанія розкрила реальні збитки та невдалий процес збору коштів.
CoinDCX визнала, що могла б комунікувати більш проактивно. Розслідування руху в блокчейні потребує часу, особливо коли потрібно перевіряти мітки адрес і внутрішні баланси. Компанія все ще може рано повідомити, що відомо, а що ні, не трактуючи неперевірену атрибуцію як остаточний висновок. Тут розрив між першою відповіддю та пізнішим звітом дозволив клієнтам і незалежним слідчим сперечатися про те, чи була стара система неактивною в якомусь значущому сенсі.
Найкориснішим подальшим кроком було б надати датовану хронологію збою збору коштів, коли моніторинг уперше побачив накопичення балансу, скільки постраждалих депозитів було зараховано та які заходи вжито, щоб зупинити надходження додаткових депозитів. Також слід відрізняти кошти, заморожені в емітента, від коштів, відновлених і повернутих. Така деталізація дозволила б клієнтам оцінити процес, який зазнав невдачі, а не покладатися на раннє заперечення чи загальне запевнення.
Компанія заявляє, що торгівля, депозити та виведення коштів тривали протягом усього часу. Безперервний доступ є релевантним доказом негайного клієнтського досвіду, але це не аудит кожного активу та зобов'язання. Заява про поглинання збитків компанією, підкріплена оновленими атестаціями та здатністю виконувати виведення коштів, зробила б висновок більш стійким. Регулятори також можуть мати очікування щодо звітності, хоча в переглянутому публічному записі не було виявлено жодних підтверджених дій щодо жовтневих переказів.
Виведення гаманця з експлуатації вимагає більшого, ніж зміна застосунку
Біржа може припинити показувати стару адресу для депозитів; вона не може видалити цю адресу з TRON або змусити збережену форму відправника забути її. Вона повинна вирішити, чи моніторити та рятувати пізні депозити, чи блокувати зарахування клієнту, де це можливо, чи попереджати, що відновлення може бути неможливим. Кожен вибір має наслідки. Сервіс порятунку створює зобов'язання продовжувати спостереження, навіть якщо більшість клієнтів перейшли на нову адресу.
Підхід CoinDCX розділив завдання на дві частини: спочатку зарахування, потім збір коштів. Її жовтневе розкриття показує, що відбувається, коли другий крок тихо зупиняється. Таким чином, подія стосується не лише скомпрометованого ключа. Вона виявляє невідповідність між бухгалтерським моментом, коли клієнту повідомляють, що його гроші надійшли, і кастодіальним моментом, коли біржа фактично переміщує актив із уразливого місця.
Остаточна вартість для CoinDCX може змінитися, якщо активи буде відновлено. Компанія повідомила про втрату 15,99 млн USDT і не оголосила про таке відновлення у своїй заяві. Для клієнтів вирішальними питаннями є те, чи можна вивести зараховані баланси, чи надходять майбутні депозити на поточні адреси, і чи усунула біржа прогалину в моніторингу. Для ширшого ринку урок полягає в старій адресі, яка продовжувала виконувати нову роботу. Її виведення з експлуатації було неповним, доки реальні кошти все ще надходили, а окремий автоматизований процес відповідав за їх збереження.
На що звернути увагу
- Хронологія збою: Шукайте дати, коли зупинилося переміщення коштів, коли спрацювали оповіщення і коли персонал уперше помітив накопичення балансу.
- Звірка з клієнтами: Перевірте наявність датованого обліку зарахованих депозитів, замінних активів і завершених виведень.
- Відновлення активів: Відокремлюйте USDT, заморожені Tether, від будь-яких монет, фактично повернутих CoinDCX.
- Технічна причина: Дочекайтеся доказів того, як було спустошено застарілі гаманці, а не припускайте, що повернувся липневий зловмисник.
- Політика щодо старих адрес: Стежте за тим, чи змінить CoinDCX свою тимчасову службу порятунку і як він попереджатиме клієнтів, чиї збережені інструкції для депозиту досі вказують на виведені з експлуатації адреси.
Часті запитання
Скільки втратив CoinDCX у жовтні 2026 року?
Компанія підтвердила втрату 15,99 млн USDT, пов'язану зі старою інфраструктурою гаманців. Вона заявляє, що збиток було поглинуто компанією.
Чи було зменшено баланси клієнтських рахунків?
CoinDCX заявляє, що клієнтам зараховували кошти, коли депозити надходили на старі адреси, і що їхні баланси та виведення залишилися незмінними. Незалежні дані ончейн не можуть перевірити його повний внутрішній клієнтський реєстр.
Чому користувачі надсилали гроші на виведені з експлуатації адреси?
Деякі зберегли старі призначення і продовжували ними користуватися, незважаючи на вказівки перейти на нові. Адреса блокчейну залишається здатною приймати кошти навіть після того, як біржа перестає її показувати.
Що вийшло з ладу?
CoinDCX заявляє, що автоматизована служба, яка переміщувала депозити зі старих адрес до безпечних гаманців, не працювала протягом невизначеного періоду. Вона не опублікувала повну технічну причину.
Чи вкрав липневий зловмисник 2025 року жовтневі кошти?
Особу та метод жовтневого суб'єкта публічно не встановлено. Стару інфраструктуру було виведено з експлуатації після липневого інциденту, але ці інциденти є окремими.
Куди поділися зниклі USDT?
Bitquery простежив близько 9,63 млн USDT до адрес, пов'язаних з іншими біржами, після проміжних переказів. Це простеження не встановлює, хто контролював рахунки-одержувачі.
Чи було повернуто заморожені 2,21 млн USDT?
Bitquery повідомив, що Tether заморозив цю суму в дев'яти гаманцях. Публічна заява CoinDCX не оголошувала про те, що заморожені токени було відновлено та повернуто.
Що клієнту слід перевірити перед депозитом?
Використовуйте поточну адресу депозиту та мережу, відображені в додатку біржі, для кожного переказу. Не покладайтеся на раніше збережену адресу для нового платежу. Це освітній аналіз, а не інвестиційна порада.
