CoinDCX absorbe una pérdida de 16 millones de dólares

CoinDCX absorbió una pérdida de 15,99 millones de dólares después de que un servicio interno de transferencia fallara al mover los depósitos de clientes desde una cartera comprometida que el exchange había retirado tras la brecha de seguridad de julio de 2025. El exchange, con sede enBombay, inicialmente descartó aproximadamente 16 millones de dólares de salidas sospechosas como una falsa alarma y luego reconoció que los usuarios siguió enviando fondos a direcciones obsoletas. Los saldos de los clientes, las carteras activas y los sistemas de negociación no se vio afectados, y CoinDCX afirmó que cubriría la pérdida por su cuenta.

Por qué importa

Las direcciones se crearon en enero de 2025 y se comprometieron en la brecha de julio de 2025, que costó a CoinDCX unos 44 millones de dólares. Tras el incidente, el exchange siguió acreditando a los usuarios cuyos depósitos llegaban a la cartera obsoleta, mientras que un servicio independiente de transferencia debía mover esos fondos a su cartera principal. El proceso falló durante un periodo, lo que permitió que los depósitos se acumularan en una dirección que el exchange había dicho que había dejado de utilizar.

El episodio es un fallo de control operativo superpuesto a una brecha de seguridad anterior. CoinDCX afirmó que todos los depósitos de clientes estaban completamente contabilizados y que los fondos de los usuarios permanecían en carteras frías segregadas, protegidas por una custodia multinivel y controles sin conexión. También reconoció que su respuesta inicial y la comunicación tardía del incidente podrían haber sido más rápidas.

El exchange no ha identificado quién movió los fondos ni ha dicho que las direcciones retiradas volvieran a ser hackeadas. Esta distinción es importante porque la pérdida-notificada se originó en un fallo del proceso de transferencia, mientras que la causa exacta del movimiento irregular sigue sin resolverse.

Impacto en el mercado

Para CoinDCX, absorber 15,99 millones de dólares convierte un problema de tesorería en una prueba directa de la confianza de los clientes. El descarte inicial de las alertas sobre la cadena también provocó una disputa con investigadores de blockchain, incluido ZachXBT, quien afirmó que una dirección etiquetada como TQKJQ había sido utilizada por un proveedor de liquidez para transferir depósitos de usuarios a la cartera pública caliente actual de CoinDCX tan recientemente como en abril y mayo de 2026.

La lección más amplia es que retirar una dirección de la infraestructura activa no la elimina del comportamiento de los usuarios ni del registro público.