CoinDCX admite perda de 16 milhões de dólares que chamava falso alarme
A corretora de criptomoedas indiana CoinDCX admitiu ter perdido 15,99 milhões de USDT, cerca de 16 milhões de dólares, de carteiras de depósito que já não usava. A admissão surgiu a 25 de outubro num artigo do blog, três dias depois de o seu presidente executivo ter chamado «falso alarme» às notícias sobre o roubo.
A corretora diz que vai cobrir a perda e que os saldos dos clientes em carteiras frias não foram afetados. O caso interessa, ainda assim, a quem guarda moedas numa corretora: a primeira reação pública foi um desmentido, e o dinheiro saiu de um endereço para onde os clientes continuavam a enviar depósitos.
Do desmentido à admissão
A 22 de outubro, o investigador de blockchain Darcy, cofundador da FlashRescue, assinalou a saída de cerca de 15,99 milhões de USDT e 5783,81 TRX de carteiras ligadas à CoinDCX na rede Tron. Menos de três horas depois, o CEO Sumit Gupta respondeu no X que o alerta estava errado: os endereços tinham sido comprometidos já em julho de 2025, nenhum fundo tinha saído das carteiras atuais e aquilo parecia um «falso alarme». A conta oficial da corretora classificou as alegações de «enganadoras».
O investigador on-chain ZachXBT contestou a ideia de que essas carteiras estavam desativadas. Segundo ele, um dos endereços de depósito foi usado por um fornecedor de liquidez durante cerca de dez meses após o ataque de julho, e ainda em abril e maio de 2026 transferia depósitos de utilizadores para a carteira quente atual da CoinDCX. Aconselhou os utilizadores a retirar os fundos da corretora.
No artigo de 25 de outubro, a CoinDCX explicou que detetou a 21 de outubro uma atividade invulgar que «tinha afetado a nossa antiga infraestrutura de carteiras, já desativada, que tinha vulnerabilidades desconhecidas». O serviço automático que retira o dinheiro dos endereços de depósito falhou durante algum tempo, e os depósitos foram-se acumulando num endereço que a corretora já não usava. «Isto levou a uma perda de 15,99 milhões de USDT, que foi absorvida pela empresa», diz o artigo.
Para onde foi o dinheiro da CoinDCX
Segundo uma análise da Bitquery citada pelo crypto.news, 88 depósitos num total de cerca de 15,82 milhões de USDT acumularam-se numa única carteira. Em 18 horas, cerca de 9,63 milhões de dólares passaram por carteiras intermédias para endereços de depósito ligados à OKX, Binance e Gate. A Tether congelou cerca de 2,21 milhões de dólares em nove carteiras a 22 de outubro.
A CoinDCX não disse como o atacante obteve as chaves privadas, quando o serviço deixou de funcionar nem se foi recuperado algum dinheiro. A declaração também não esclarece se as autoridades indianas, como a Unidade de Informação Financeira ou o CERT-In, foram notificadas. Um representante da empresa remeteu os jornalistas para o artigo do blog e não respondeu a outras perguntas, noticiou o The Block.
A segunda perda em 15 meses
Em julho de 2025, a mesma corretora perdeu cerca de 44 milhões de dólares. A polícia de Bangalore disse mais tarde que piratas informáticos fazendo-se passar por recrutadores convenceram um engenheiro da CoinDCX a instalar malware que lhes abriu o acesso aos sistemas internos. As carteiras esvaziadas este mês são as que a corretora diz ter desativado depois desse ataque.
Para os clientes, a lição prática está no mecanismo. Alguns continuaram a enviar dinheiro para o endereço antigo, apesar de a corretora lhes ter pedido para mudar. Antes de cada transferência, copie o endereço de depósito da aplicação ou do site da corretora nesse momento, e não do histórico de transações ou de um contacto guardado há muito. As moedas deixadas em qualquer corretora dependem da forma como ela gere as carteiras, por isso as poupanças com que não negoceia ficam mais seguras numa carteira cujas chaves são só suas. A negociação, os depósitos e os levantamentos na CoinDCX continuaram a funcionar durante todo o tempo, e a corretora diz que vai reforçar a vigilância dos seus sistemas de carteiras antigos.
