CoinDCX ammette una perdita di 16 milioni di dollari che chiamava falso allarme
L'exchange di criptovalute indiano CoinDCX ha ammesso di aver perso 15,99 milioni di USDT, circa 16 milioni di dollari, da wallet di deposito che non usava più. L'ammissione è arrivata il 25 ottobre in un post sul blog, tre giorni dopo che il suo amministratore delegato aveva definito «falso allarme» le notizie sul furto.
L'exchange dice di coprire la perdita da sé e che i saldi dei clienti nei cold wallet non sono stati toccati. La vicenda riguarda comunque chiunque tenga monete su un exchange: la prima reazione pubblica è stata una smentita, e il denaro è uscito da un indirizzo a cui i clienti continuavano a inviare depositi.
Dalla smentita all'ammissione
Il 22 ottobre l'investigatore blockchain Darcy, cofondatore di FlashRescue, ha segnalato l'uscita di circa 15,99 milioni di USDT e 5.783,81 TRX da wallet collegati a CoinDCX sulla rete Tron. Meno di tre ore dopo il CEO Sumit Gupta ha risposto su X che la segnalazione era sbagliata: gli indirizzi erano stati compromessi già a luglio 2025, dai wallet attuali non erano usciti fondi e l'allerta sembrava un «falso allarme». L'account ufficiale dell'exchange ha definito le notizie «fuorvianti».
L'investigatore on-chain ZachXBT ha contestato l'idea che quei wallet fossero dismessi. Secondo lui, uno degli indirizzi di deposito è stato usato da un fornitore di liquidità per circa dieci mesi dopo l'attacco di luglio, e ancora ad aprile e maggio 2026 da lì partivano trasferimenti di depositi degli utenti verso l'attuale hot wallet di CoinDCX. Ha consigliato agli utenti di ritirare i propri fondi dall'exchange.
Nel post del 25 ottobre CoinDCX ha spiegato di aver rilevato il 21 ottobre un'attività anomala che «aveva colpito la nostra vecchia infrastruttura di wallet, dismessa, che aveva vulnerabilità sconosciute». Il servizio automatico che svuota gli indirizzi di deposito si era bloccato per un periodo, così i depositi si sono accumulati su un indirizzo che l'exchange non usava più. «Questo ha causato una perdita di 15,99 milioni di USDT, che è stata assorbita dall'azienda», si legge nel post.
Dove sono finiti i soldi di CoinDCX
Secondo un'analisi di Bitquery citata da crypto.news, su un solo wallet si erano accumulati 88 depositi per circa 15,82 milioni di USDT. In 18 ore circa 9,63 milioni di dollari sono passati attraverso wallet intermedi verso indirizzi di deposito collegati a OKX, Binance e Gate. Il 22 ottobre Tether ha congelato circa 2,21 milioni di dollari su nove wallet.
CoinDCX non ha detto come l'attaccante abbia ottenuto le chiavi private, quando il servizio abbia smesso di funzionare né se sia stato recuperato del denaro. La dichiarazione non chiarisce nemmeno se siano state avvisate le autorità indiane, come la Financial Intelligence Unit o il CERT-In. Un portavoce dell'azienda ha rimandato i giornalisti al post sul blog senza rispondere ad altre domande, riferisce The Block.
La seconda perdita in 15 mesi
A luglio 2025 lo stesso exchange aveva perso circa 44 milioni di dollari. La polizia di Bangalore ha poi riferito che hacker spacciatisi per selezionatori del personale avevano convinto un ingegnere di CoinDCX a installare un malware che ha aperto l'accesso ai sistemi interni. I wallet svuotati questo mese sono proprio quelli che l'exchange dice di aver dismesso dopo quell'attacco.
Per i clienti la lezione pratica sta nel meccanismo. Alcuni hanno continuato a inviare denaro al vecchio indirizzo nonostante l'exchange avesse chiesto di cambiarlo. Prima di ogni trasferimento, copia l'indirizzo di deposito dall'app o dal sito dell'exchange in quel momento, non dalla cronologia delle transazioni o da un vecchio contatto salvato. Le monete lasciate su qualsiasi exchange dipendono da come gestisce i suoi wallet, quindi i risparmi con cui non fai trading sono più al sicuro in un wallet di cui hai tu le chiavi. Trading, depositi e prelievi su CoinDCX sono rimasti attivi per tutto il tempo, e l'exchange dice che rafforzerà il controllo dei suoi vecchi sistemi di wallet.
