CoinDCX absorve perda de 16 milhões de dólares

A CoinDCX assumiu uma perda de 15,99 milhões de dólares depois de um serviço interno de varrimento não ter conseguido transferir depósitos de clientes de uma carteira comprometida que a exchange tinha retirado de serviço após a violação de segurança de julho de 2025. A exchange sediada em Bombaim descartou inicialmente cerca de 16 milhões de dólares em saídas suspeitas como um falso alarme, reconhecendo depois que os utilizadores continuaram a enviar fundos para os endereços desativados. Os saldos dos clientes, as carteiras ativas e os sistemas de negociação não foram afetados, e a CoinDCX disse que cobriria a perda por sua conta.

Porquê que isto importa

Os endereços foram criados em janeiro de 2025 e comprometidos na violação de julho de 2025, que custou à CoinDCX cerca de 44 milhões de dólares. Após o incidente, a exchange continuou a creditar os utilizadores cujos depósitos chegavam à carteira desativada, enquanto um serviço de varrimento separado deveria transferir esses fundos para a carteira principal. Esse processo falhou durante um período, permitindo que os depósitos se acumulassem num endereço que, segundo a exchange, já não estava em uso.

O episódio é uma falha de controlo operacional sobreposta a uma violação de segurança anterior. A CoinDCX afirmou que os depósitos dos clientes estavam totalmente contabilizados e que os fundos dos utilizadores permaneciam em carteiras frias segregadas, protegidas por custódia de múltiplas camadas e controlos offline. Reconheceu também que a sua resposta inicial e a divulgação tardia poderiam ter sido mais rápidas.

A exchange não identificou quem moveu os fundos nem afirmou que os endereços retirados de serviço foram novamente hackeados. Essa distinção importa porque a perda reportada resultou de um processo de transferência falhado, enquanto a causa exata do movimento irregular permanece por esclarecer.

Impacto no mercado

Para a CoinDCX, assumir 15,99 milhões de dólares transforma uma questão de tesouraria num teste direto à confiança dos clientes. O descarte inicial, pela exchange, dos avisos on-chain também criou uma disputa com investigadores de blockchain, incluindo ZachXBT, que afirmou que um endereço identificado como TQKJQ tinha sido usado por um fornecedor de liquidez para transferir depósitos de utilizadores para a carteira quente pública atual da CoinDCX tão recentemente como em abril e maio de 2026.

A lição mais ampla é que retirar um endereço da infraestrutura ativa não o remove do comportamento dos utilizadores nem do registo público.