Una antigua billetera de CoinDCX seguía recibiendo depósitos. Luego desaparecieron 16 millones de dólares

Se suponía que las billeteras pertenecían al pasado de CoinDCX. Tras una brecha de seguridad en julio de 2025, el exchange indio había reemplazado la infraestructura comprometida y había dicho a los clientes que usaran nuevas direcciones de depósito. Sin embargo, algunos clientes siguieron enviando dinero a las antiguas, y la empresa siguió acreditando sus cuentas mientras un servicio separado movía las monedas fuera. En octubre, ese segundo paso falló.

Una dirección de criptomonedas no caduca cuando un exchange la retira. Alguien puede guardarla en un formulario de retiro, copiarla de un mensaje antiguo o automatizar transferencias a ella durante meses. La blockchain aceptará la transacción incluso si la aplicación actual del exchange muestra un destino diferente. CoinDCX eligió reconocer esos depósitos para sus clientes y barrer las monedas reales hacia una custodia más nueva. La elección protegió a las personas de perder un depósito equivocado mientras dejaba un camino a través de la infraestructura antigua.

La explicación de la empresa del 25 de octubre dice que ese camino se rompió. No establece cada paso de la transferencia no autorizada, y un lector externo no puede ver el libro mayor interno del exchange. El resultado visible es un fallo de custodia inusualmente instructivo: los clientes podían tener un saldo acreditado en la aplicación mientras el USDT depositado correspondiente permanecía en una dirección ya considerada insegura. Cómo se detectó, financió y cerró esa brecha importa más allá de la pérdida titular.

La dirección retirada todavía tenía una función

CoinDCX dice que los clientes siguieron depositando en direcciones retiradas después del incidente de julio de 2025 a pesar de las indicaciones de usar las nuevas. Cuando llegaba una transferencia, el exchange acreditaba inmediatamente la cartera del cliente. Un barrido automatizado separado debía mover la criptomoneda desde la dirección antigua a una billetera segura. El cliente no tenía que esperar esa segunda transferencia para usar el saldo acreditado.

El diseño contiene un compromiso. Si CoinDCX se negara a reconocer una transferencia a una dirección antigua, un cliente que reutilizara instrucciones guardadas podría parecer que pierde dinero. Acreditar primero le da a la persona un saldo en la cuenta rápidamente, pero la empresa asume la responsabilidad de mover o reemplazar las monedas reales. Si el barrido falla, los pasivos en los libros del exchange pueden aumentar incluso mientras las monedas permanecen en billeteras vulnerables.

Que una dirección antigua sea "obsoleta" puede por lo tanto significar dos cosas diferentes. Puede que ya no se muestre a nuevos usuarios ni esté destinada a operaciones rutinarias. Todavía puede recibir depósitos de blockchain, ser monitoreada por el exchange y ser utilizada en un flujo de trabajo de recuperación. La disputa inicial del 22 de octubre giró en torno a esa distinción. Los ejecutivos de CoinDCX dijeron que las direcciones eran antiguas, mientras que los investigadores señalaron movimientos continuos entre ellas y las billeteras operativas del exchange. La explicación posterior de la empresa reconoció que un proceso continuaba manejando depósitos allí.

Es tentador llamar uso activo ordinario a cada movimiento a través de una dirección retirada, o tratar "retirada" como prueba de que ningún dinero podría llegar. Ninguna de las dos descripciones capta el arreglo que CoinDCX ha descrito ahora. Las direcciones no eran los destinos que su aplicación quería que los usuarios eligieran. Seguían siendo monitoreadas, se acreditaba a los clientes por los depósitos y el exchange mantenía un servicio destinado a mover los activos hacia adelante. Tal servicio debe funcionar de manera consistente si la firma está asumiendo el riesgo de pérdida del cliente.

El dinero se acumuló mientras el barrido fallaba

CoinDCX dice que su servicio automatizado de barrido falló "durante un período particular", permitiendo que los depósitos se acumularan. No ha dicho cuándo comenzó la falla, si se dispararon alertas, cuántos clientes estuvieron involucrados o por qué un gran saldo sin mover no activó una intervención antes del 21 de octubre. Esos detalles faltantes dificultan juzgar si la debilidad duró horas, semanas o más.

El estudio de transacciones en TRON de Bitquery contó 40 billeteras drenadas y situó 15,82 millones de USDT de los 15,99 millones totales en una sola dirección de depósito. Su análisis dijo que la gran dirección contenía 88 depósitos de un solo depositante, ninguno de los cuales se había movido desde marzo. Si la atribución es correcta, el intervalo entre esos depósitos y la retirada de octubre fue mucho más largo que el breve retraso que un cliente podría esperar de un barrido automatizado. La blockchain puede mostrar transferencias y saldos; no puede por sí sola mostrar si cada depósito fue acreditado a un cliente o cómo se manejó una alerta de monitoreo interno.

Bitquery también examinó los pequeños pagos en TRX requeridos para mover USDT en TRON. Encontró recargas de comisiones a las direcciones de depósito afectadas, seguidas de transferencias rutinarias, incluida actividad el 21 de octubre. Un exchange debe fondear una dirección con el token nativo de la red cuando quiere que esa dirección envíe USDT. El patrón repetido ayuda a explicar por qué los investigadores cuestionaron la afirmación de que las billeteras simplemente habían sido abandonadas. No identifica quién obtuvo los medios para drenarlas ni prueba la fuente original de cada depósito.

CoinDCX dice que notó actividad inusual en sus sistemas el 21 de octubre y vio movimientos irregulares onchain al día siguiente, con informes de su comunidad que provocaron una investigación más profunda. La compañía dice que los controles inmediatos evitaron un impacto en las billeteras activas y la infraestructura de trading. Su divulgación del 25 de octubre luego confirmó la pérdida de 15,99 millones de USDT. Estas son las descripciones de la compañía sobre la detección y contención; la cadena pública proporciona el registro de transacciones, pero no los registros internos de eventos de la compañía.

Un saldo de cliente y un saldo de billetera son diferentes

Un cliente de exchange generalmente ve un asiento en su cuenta, no una moneda particular sentada en una dirección blockchain segregada asignada exclusivamente a él. La política declarada de CoinDCX para direcciones antiguas acreditaba la cuenta del usuario tan pronto como llegaba el depósito. El exchange entonces debía al cliente el monto mostrado, independientemente de si su barrido separado se retrasaba. Cuando los activos desaparecieron de la billetera antigua, la pérdida podría ser asumida por la compañía si esta proporcionaba fondos de reemplazo.

CoinDCX dice que hizo exactamente eso.Su cuenta confirmada de pérdidas dice que la compañía absorbió los 15,99 millones de USDT y sostiene que los saldos de los clientes, las billeteras activas y las operaciones no se vieron afectados. Esa es una distinción material respecto de un exchange que traslada pérdidas a los depositantes o detiene los retiros. También es una afirmación que merece seguimiento con datos de conciliación, reservas y retiros, porque un observador externo no puede inspeccionar todos los pasivos con los clientes simplemente viendo las direcciones involucradas en el drenaje.

La cuenta del exchange no hace que los fondos faltantes sean imaginarios. Un cliente aún puede tener el saldo acreditado completo mientras la empresa ha pagado por un robo o una pérdida operativa. Financieramente, la firma tiene que cubrir el déficit con sus propios activos o recuperar las monedas robadas. Su capacidad para hacerlo debe evaluarse a partir de divulgaciones financieras y de prueba de reservas fechadas, junto con si los retiros continúan liquidándose, en lugar de basarse únicamente en la frase "los fondos están seguros".

CoinDCX había anunciado previamente un fondo de protección al cliente con una asignación inicial de aproximadamente $6 millones en 2024. La existencia de ese programa no demuestra que haya financiado la pérdida de octubre de 2026, que es mayor que la asignación original. La empresa dice que absorbió el déficit. Un seguimiento transparente identificaría si el reemplazo provino de activos ordinarios de tesorería, una reserva dedicada, seguros o recuperaciones, sin pedir a los clientes que infieran una fuente de financiamiento a partir del nombre de un programa antiguo.

Los clientes que guardaron una dirección antigua deberían actualizar sus instrucciones de pago. En una cadena pública el remitente aún puede transmitir al destino antiguo, y la red no sabrá qué recomienda actualmente la aplicación de CoinDCX. El exchange dice que el soporte para direcciones obsoletas es temporal. Si ese soporte termina, el manejo de un depósito accidental posterior podría cambiar. La dirección actual en la aplicación del exchange es la única en la que un cliente debería confiar para una nueva transferencia, con el activo y la red verificados en el momento del envío.

Rastrear el USDT no identifica al ladrón

Bitquery rastreó aproximadamente 9,63 millones de USDT a través de carteras intermedias hasta direcciones de depósito que asoció con OKX, Binance y Gate en un plazo de 18 horas desde la transferencia principal. Un pago que llega a una dirección asociada a un exchange puede dar a los investigadores un lugar donde buscar registros o cooperación. No es prueba de que el exchange nombrado llevara a cabo el robo, lo aprobara o todavía tenga todo el dinero. La atribución de direcciones de servicio también puede revisarse.

El mismo estudio dijo que Tether congeló aproximadamente 2,21 millones de USDT en nueve carteras el 22 de octubre. Una congelación puede impedir que esos tokens particulares se muevan, pero no es lo mismo que la restitución a CoinDCX. El reembolso podría requerir un proceso legal, coordinación con el emisor y confirmación de la propiedad. La declaración original de la empresa no anunció activos recuperados. Informar la suma congelada como dinero ya devuelto exageraría lo que se sabe.

El registro público revela el tamaño y la ruta de las transacciones mucho más fácilmente que el método de compromiso. CoinDCX se refirió a vulnerabilidades desconocidas en su infraestructura obsoleta. No dijo si la pérdida de octubre provino de claves expuestas en 2025, de una falla de acceso posterior o de alguna otra vía. Bitquery declaró explícitamente que su análisis no podía mostrar cómo la persona que movió los fondos obtuvo las claves. La causa técnica precisa necesita un informe posterior al incidente por parte del operador, idealmente con revisión independiente.

Una dirección que contenía 15,82 millones de USDT hace que el momento sea especialmente trascendente. Si las monedas hubieran sido barridas mientras llegaban, ese saldo no habría permanecido en esa dirección en el momento del drenaje. Tal contrafactual no prueba que el robo se habría evitado por completo, porque la cartera de destino y los controles de acceso también importarían. Sí explica por qué el fallo del barrido no es un detalle periférico: determinó cuánto valor estaba en la ruta comprometida.

La brecha de 2025 fue un incidente diferente

El informe del incidente de julio de 2025 describió una pérdida de aproximadamente $44 millones de una cuenta operativa interna utilizada para el suministro de liquidez en un exchange asociado. CoinDCX dijo que los activos de los clientes en carteras frías segregadas no se vieron afectados y que cubrió la exposición con su propia tesorería. La nueva pérdida de 15,99 millones de USDT es un evento separado de octubre de 2026 que involucra depósitos que llegaron a infraestructura retirada después de esa brecha anterior.

La conexión importa porque CoinDCX mismo afirma que la infraestructura antigua había sido comprometida. Una vez que una dirección o su sistema circundante se considera expuesto, continuar rescatando depósitos a través de ella requiere una vigilancia especialmente cuidadosa y un movimiento rápido de fondos. El incidente antiguo no puede establecer que el mismo atacante regresara, y ninguna evidencia pública revisada identifica a la persona detrás de las transferencias de octubre. El historial de infraestructura compartida plantea una pregunta operativa directa: ¿por qué quedó tanto dinero allí después de que se conociera el peligro?

En 2025 el exchange también habló sobre el rediseño de seguridad y la separación de las carteras de clientes de las cuentas operativas. La cobertura contemporánea de la brecha del servidor describió el supuesto aislamiento de la primera pérdida. El segundo incidente muestra que segregar la custodia principal es solo una parte del trabajo. Los depósitos pasan por direcciones y servicios automatizados antes de llegar a esa custodia. Una antigua ruta de ingreso puede crear una pérdida incluso si las carteras frías principales permanecen intactas.

Tras el primer incidente, se reanudaron el trading y los retiros en rupias y la firma reiteró que asumiría la pérdida. La garantía actual tiene la misma forma de cara al cliente, aunque el mecanismo difiere. En julio de 2025 se vulneró una cuenta de liquidez interna. En octubre de 2026, la falla declarada fue un servicio que debería haber barrido los depósitos que llegaban a la infraestructura retirada. Comparar los dos incidentes requiere mantener esos mecanismos separados; el hecho de que ambos le costaran dinero a la empresa no es evidencia de un único atacante ni de una ruta de explotación repetida.

Eso no significa que los clientes hayan sufrido un cargo directo. Significa que la empresa incurrió en una pérdida mientras honraba el crédito que dice haberles otorgado ya. Ambas proposiciones pueden ser verdaderas a la vez. Los titulares que califican el evento como un movimiento inofensivo de una cartera antigua o como un déficit probado en el saldo de los clientes las difuminan fácilmente. CoinDCX ha reconocido una pérdida real de la empresa y ha negado un impacto en los saldos de los clientes; los datos públicos no resuelven todas las cuestiones contables restantes.

Por qué importa la primera negación

Cuando los investigadores circularon por primera vez las transferencias, CoinDCX dijo que sus carteras actuales no habían sido vulneradas y sugirió que las direcciones antiguas podrían estar produciendo una falsa alarma. La declaración abordó parte de la preocupación, a saber, si la infraestructura activa principal había sido drenada, pero no explicó por qué los fondos en las direcciones antiguas parecían haber sido tomados. Para el 25 de octubre la firma había revelado una pérdida real y un proceso de barrido fallido.

CoinDCX reconoció que podría haber comunicado de manera más proactiva. Investigar un movimiento en la blockchain lleva tiempo, especialmente cuando hay que verificar las etiquetas de las direcciones y los saldos internos. Una empresa aún puede decir qué se sabe y qué se desconoce desde el principio sin tratar una atribución no verificada como un hallazgo concluido. Aquí la brecha entre la primera respuesta y el relato posterior permitió a los clientes y a los investigadores independientes discutir si el sistema antiguo estaba inactivo en algún sentido significativo.

El seguimiento más útil daría una cronología fechada de la interrupción del barrido, cuándo la monitorización vio por primera vez el saldo acumulado, cuántos depósitos afectados fueron acreditados y las medidas tomadas para impedir que se acumularan depósitos adicionales. También debería distinguir el dinero congelado en un emisor del dinero recuperado y devuelto. Tal detalle permitiría a los clientes evaluar el proceso que falló en lugar de depender de una negación temprana o de una garantía general.

La empresa afirma que el trading, los depósitos y los retiros continuaron durante todo el tiempo. El acceso continuo es evidencia relevante sobre la experiencia inmediata del cliente, pero no es una auditoría de cada activo y pasivo. Una declaración de la absorción de pérdidas de la firma, respaldada por atestaciones actualizadas y la capacidad de hacer frente a los retiros, haría la conclusión más duradera. Los reguladores también pueden tener expectativas de reporte, aunque no se identificó ninguna acción confirmada relativa a las transferencias de octubre en el registro público revisado.

Retirar una cartera requiere más que cambiar la aplicación

Un exchange puede dejar de mostrar una dirección de depósito antigua; no puede eliminar esa dirección de TRON ni forzar al formulario guardado de un remitente a olvidarla. Debe decidir si monitorizar y rescatar depósitos tardíos, bloquear al cliente para que no se le acredite cuando sea posible, o advertir que la recuperación podría no ser posible. Cada elección tiene consecuencias. Un servicio de rescate crea la obligación de seguir vigilando, aunque la mayoría de los clientes se hayan pasado a la nueva dirección.

El enfoque de CoinDCX dividió la tarea en dos: acreditar primero, luego barrer. Su revelación de octubre muestra qué sucede cuando el segundo paso se detiene silenciosamente. El evento, por lo tanto, trata de algo más que una clave comprometida. Expone un desajuste entre el momento contable en que se le dice al cliente que su dinero ha llegado y el momento de custodia en que el exchange realmente saca el activo de una ubicación vulnerable.

El costo final para CoinDCX puede cambiar si se recuperan los activos. La compañía ha reportado una pérdida de 15,99 millones de USDT y no ha anunciado dicha recuperación en su declaración. Para los clientes, las preguntas decisivas son si los saldos acreditados pueden retirarse, si los depósitos futuros van a las direcciones actuales y si el exchange ha corregido la brecha de monitoreo. Para el mercado en general, la lección reside en la antigua dirección que siguió realizando nuevas funciones. Su retiro fue incompleto mientras fondos reales siguieran llegando y un proceso automatizado separado fuera responsable de salvarlos.

Qué observar

• Cronología de la interrupción: Busque las fechas en que se detuvo el barrido, cuándo se activaron las alertas y cuándo el personal notó por primera vez la acumulación del saldo.
• Conciliación de clientes: Verifique si existe una contabilidad fechada de los depósitos acreditados, los activos de reemplazo y los retiros completados.
• Recuperación de activos: Separe los USDT congelados por Tether de cualquier moneda realmente devuelta a CoinDCX.
• Causa técnica: Espere evidencia sobre cómo se vaciaron las billeteras obsoletas en lugar de asumir que regresó el atacante de julio.
• Política de direcciones antiguas: Observe si CoinDCX cambia su servicio de rescate temporal y cómo advierte a los clientes cuyas instrucciones de depósito guardadas aún apuntan a direcciones retiradas.

Preguntas frecuentes