CoinDCX avoue 16 millions de dollars perdus, quatre jours après la « fausse alerte » de son PDG

Encyclopédie du Coin Améliorez vos connaissances sur les cryptos

Ce premier piratage avait déjà coûté 44 millions de dollars à la plateforme. Le détective on-chain ZachXBT conseille désormais aux clients de tout retirer.

Tout commence le mardi 20 octobre , à 11h35 heure de New York. Environ 15,99 millions d’USDT et 5 783 TRX quittent alors un hot wallet de CoinDCX, ce portefeuille connecté en permanence, ainsi que plusieurs de ses adresses de dépôt. Destination unique, une adresse Tron. Le plus gros virement pèse 15 819 002 USDT à lui seul. Le cofondateur de FlashRescue, connu sous le pseudonyme Darcy, a suivi la suite. Les fonds sont découpés puis dispersés vers des adresses de dépôt chez Binance, OKX et Gate .

Darcy sonne l’alarme sur X mercredi à 1h30 , heure de New York. Le PDG Sumit Gupta lui répond en moins de trois heures que l’information est « incorrecte » et que les portefeuilles de CoinDCX n’ont « pas été piratés ». Les adresses visées auraient été compromises dès juillet 2025. « Cela ressemble à une fausse alerte » , tranche-t-il. Le compte officiel de l’exchange enchaîne quatre minutes plus tard et qualifie les signalements de « trompeurs ».

Le ton change vite. À 5h59, Gupta assure à ZachXBT que l’équipe « enquête plus avant » et qu’« aucun fonds d’utilisateur ne sera perdu ». À 7h47, CoinDCX admet qu’une panne de son service de transfert automatique a provoqué « des pertes opérationnelles, absorbées par CoinDCX » . Sans le moindre montant. Il faudra attendre dimanche et un billet de blog pour lire le chiffre de 15,99 millions d’USDT , relevé par The Block le 25 octobre.

Further update on the TQKJQ wallet On-Chain activity. Following the July 2025 security incident, we advised users not to deposit crypto to the compromised wallet addresses. These addresses were generated earlier in 2025, were compromised during the incident, and have since been…

Le cœur du problème tient dans une phrase du billet de CoinDCX. Son « service de balayage automatisé » , qui déplace les fonds d’un portefeuille à l’autre, « a échoué pendant une certaine période ». Traduisez. Chaque client d’un exchange reçoit une adresse de dépôt, qu’un robot vide régulièrement vers des portefeuilles mieux gardés. Robot à l’arrêt, l’argent s’entasse là où il ne devrait jamais dormir.

Et l’endroit était mal choisi. Ces adresses appartenaient à l’ ancienne infrastructure , celle que l’exchange décrit lui-même comme porteuse de « vulnérabilités inconnues ». Les dépôts continuaient d’arriver sur des adresses compromises sans que personne ne les vide, et l’attaquant n’avait plus qu’à se baisser.

Pourquoi ces adresses recevaient-elles encore de l’argent quinze mois après le hack ? ZachXBT avance une explication. Selon lui, l’une d’elles a servi à un fournisseur de liquidité pendant dix mois après l’incident de juillet 2025. Elle transférait encore des dépôts de clients vers le hot wallet actuel de CoinDCX en avril et en mai 2026. Le détective évoque « 15,8 millions de dollars de dépôts d’utilisateurs dont votre équipe n’a pas rendu compte » .