Старый кошелёк CoinDCX продолжал получать депозиты. Затем пропали $16 млн

Эти кошельки должны были остаться в прошлом CoinDCX. После июльского взлома 2025 года индийская биржа заменила скомпрометированную инфраструктуру и сообщила клиентам использовать новые адреса для депозитов. Однако некоторые клиенты продолжали отправлять деньги на старые адреса, и компания продолжала зачислять средства на их счета, пока отдельный сервис выводил монеты. В октябре этот второй этап дал сбой.

Адрес криптовалюты не истекает, когда биржа его выводит из использования. Кто-то может сохранить его в форме вывода, скопировать из старого сообщения или автоматизировать переводы на него на месяцы. Блокчейн примет транзакцию, даже если текущее приложение биржи отображает другой пункт назначения. CoinDCX решила признавать такие депозиты для своих клиентов и переводить фактические монеты в более новое хранение. Этот выбор защитил людей от потери ошибочного депозита, но оставил путь через старую инфраструктуру.

Объяснение компании от 25 октября говорит, что этот путь сломался. Оно не устанавливает каждый шаг несанкционированного перевода, и внешний читатель не может увидеть внутренний реестр биржи. Видимый результат — необычайно поучительный сбой хранения: клиенты могли иметь зачисленный баланс в приложении, в то время как соответствующий депонированный USDT оставался на адресе, уже считавшемся небезопасным. То, как этот разрыв был обнаружен, профинансирован и закрыт, важно помимо заголовочного убытка.

У выведенного из использования адреса всё ещё была работа

CoinDCX сообщает, что клиенты продолжали вносить депозиты на адреса, выведенные из использования после инцидента в июле 2025 года, несмотря на указания использовать новые. Когда перевод поступал, биржа немедленно зачисляла его на портфель клиента. Отдельный автоматизированный сборщик должен был перемещать криптовалюту со старого адреса в безопасный кошелёк. Клиенту не нужно было ждать этого второго перевода, чтобы использовать зачисленный баланс.

В этой схеме есть компромисс. Если бы CoinDCX отказывалась признавать перевод на старый адрес, клиент, повторно использовавший сохранённые инструкции, мог бы выглядеть так, будто потерял деньги. Зачисление средств первым даёт человеку баланс на счёте быстро, но компания берёт на себя ответственность за перемещение или замену фактических монет. Если сбор средств не срабатывает, обязательства на балансе биржи могут расти, даже пока монеты остаются в уязвимых кошельках.

Таким образом, «выведение из использования» старого адреса может означать две разные вещи. Он может больше не отображаться новым пользователям или не предназначаться для рутинных операций. Он всё ещё может принимать депозиты в блокчейне, отслеживаться биржей и использоваться в процессе восстановления. Первоначальный спор 22 октября касался именно этого различия. Руководители CoinDCX говорили, что адреса старые, в то время как следователи указывали на продолжающиеся перемещения между ними и операционными кошельками биржи. Более позднее объяснение компании признало, что процесс продолжал обрабатывать депозиты там.

Так и тянет назвать любое движение через выведенный из эксплуатации адрес обычным активным использованием или счесть «выведенный из эксплуатации» доказательством того, что деньги туда поступить не могли. Ни одно из этих описаний не отражает ту схему, которую теперь описала CoinDCX. Эти адреса не были пунктами назначения, которые её приложение предлагало выбирать пользователям. Их по-прежнему отслеживали, клиентам зачисляли депозиты, и биржа поддерживала сервис, предназначенный для дальнейшего перемещения активов. Такой сервис должен работать бесперебойно, если фирма берёт на себя риск убытков клиента.

Деньги накапливались, пока не работал свип

CoinDCX заявляет, что её автоматизированный сервис свипа не работал «в течение определённого периода», что позволило депозитам накапливаться. Она не сообщила, когда начался сбой, срабатывали ли оповещения, сколько клиентов было затронуто и почему крупный неперемещённый баланс не вызвал вмешательства до 21 октября. Эти недостающие детали затрудняют оценку того, длилась ли уязвимость часы, недели или дольше.

Исследование транзакций TRON от Bitquery TRON transaction study насчитало 40 опустошённых кошельков и отнесло 15,82 млн USDT из общего объёма 15,99 млн к одному депозитному адресу. В его анализе говорится, что на крупном адресе находилось 88 депозитов от одного вкладчика, ни один из которых не был перемещён с марта. Если атрибуция верна, интервал между этими депозитами и изъятием в октябре был гораздо длиннее, чем короткая задержка, которую клиент мог бы ожидать от автоматизированного свипа. Блокчейн может показать переводы и балансы; сам по себе он не может показать, был ли каждый депозит зачислен клиенту или как обрабатывалось внутреннее оповещение мониторинга.

Bitquery также изучила небольшие платежи в TRX, необходимые для перемещения USDT в сети TRON. Она обнаружила пополнения комиссий на затронутые депозитные адреса, за которыми последовали рутинные переводы, включая активность 21 октября. Биржа должна пополнить адрес нативным токеном сети, когда хочет, чтобы этот адрес отправлял USDT. Повторяющаяся схема помогает объяснить, почему следователи оспорили утверждение о том, что кошельки были просто заброшены. Она не устанавливает, кто получил средства для их опустошения, и не доказывает первоначальный источник каждого депозита.

CoinDCX заявляет, что 21 октября заметила необычную активность в своих системах, а на следующий день увидела нерегулярные ончейн-движения, причём сообщения от её сообщества побудили к более глубокому расследованию. Компания говорит, что немедленные меры контроля предотвратили воздействие на активные кошельки и торговую инфраструктуру. Её раскрытие от 25 октября затем подтвердило потерю 15,99 млн USDT. Это описания компанией обнаружения и локализации; публичная цепочка предоставляет запись транзакций, но не внутренние журналы событий компании.

Баланс клиента и баланс кошелька — это разные вещи

Клиент биржи обычно видит запись на счёте, а не конкретную монету, лежащую в отдельном блокчейн-адресе, закреплённом исключительно за ним. Заявленная политика CoinDCX в отношении старых адресов зачисляла на счёт пользователя, как только депозит поступал. После этого биржа была должна клиенту указанную сумму независимо от того, задержался ли её отдельный свип. Когда активы исчезли со старого кошелька, убыток могла понести компания, если она предоставила замещающие средства.

CoinDCX заявляет, что поступила именно так.В её подтверждённом отчёте об убытках говорится, что компания поглотила 15,99 млн USDT и утверждает, что балансы клиентов, активные кошельки и операции не пострадали. Это существенное отличие от биржи, перекладывающей убытки на вкладчиков или приостанавливающей вывод средств. Это также утверждение, которое заслуживает последующей проверки с помощью данных сверки, резервов и вывода средств, поскольку внешний наблюдатель не может проверить все обязательства перед клиентами, просто просмотрев адреса, участвовавшие в опустошении.

Счет биржи не делает пропавшие средства воображаемыми. У клиента может по-прежнему оставаться полный зачисленный баланс, в то время как компания уже оплатила кражу или операционный убыток. Финансово фирма должна покрыть разрыв из собственных активов или вернуть украденные монеты. Ее способность сделать это следует оценивать по датированным финансовым раскрытиям и раскрытиям доказательств резервов, а также по тому, продолжают ли выполняться выводы средств, а не только по фразе «средства в безопасности».

CoinDCX ранее объявила о фонде защиты клиентов с первоначальным выделением около 6 миллионов долларов в 2024 году. Существование этой программы не показывает, что она покрыла убыток октября 2026 года, который превышает первоначальное выделение. Компания заявляет, что поглотила недостачу. Прозрачное последующее раскрытие должно было бы указать, поступило ли возмещение из обычных казначейских активов, специального резерва, страхования или возвратов, не заставляя клиентов выводить источник финансирования из названия старой программы.

Клиентам, сохранившим старый адрес, следует обновить свои платежные инструкции. В публичной цепочке отправитель все еще может отправить транзакцию на старый адрес, и сеть не будет знать, что в настоящее время рекомендует приложение CoinDCX. Биржа заявляет, что поддержка устаревших адресов является временной. Если эта поддержка прекратится, обработка более позднего случайного депозита может измениться. Текущий адрес в приложении биржи — единственный, на который клиент должен полагаться для нового перевода, с проверкой актива и сети в момент отправки.

Отслеживание USDT не идентифицирует вора

Bitquery отследила примерно 9,63 миллиона USDT через промежуточные кошельки на адреса депозитов, которые она связала с OKX, Binance и Gate, в течение 18 часов после основного перевода. Платеж, поступивший на адрес, связанный с биржей, может дать следователям место для запроса записей или сотрудничества. Это не является доказательством того, что названная биржа совершила кражу, одобрила ее или все еще удерживает все деньги. Атрибуция адресов сервисов также может быть пересмотрена.

То же исследование сообщило, что Tether заморозила около 2,21 миллиона USDT в девяти кошельках 22 октября. Заморозка может предотвратить перемещение этих конкретных токенов, но это не то же самое, что возмещение CoinDCX. Возврат средств может потребовать юридического процесса, координации с эмитентом и подтверждения права собственности. Первоначальное заявление компании не объявляло о возвращенных активах. Сообщение о замороженной сумме как о уже возвращенных деньгах преувеличило бы то, что известно.

Публичная запись раскрывает размер и путь транзакций гораздо легче, чем метод компрометации. CoinDCX ссылалась на неизвестные уязвимости в своей устаревшей инфраструктуре. Она не сообщила, произошел ли октябрьский убыток из-за ключей, скомпрометированных в 2025 году, более позднего сбоя доступа или какого-либо иного пути. Bitquery прямо заявила, что ее анализ не может показать, как лицо, перемещавшее средства, получило ключи. Точная техническая причина требует отчета оператора о пост-инцидентном разборе, в идеале с независимой проверкой.

Один адрес, содержащий 15,82 миллиона USDT, делает время особенно значимым. Если бы монеты были перемещены по мере их поступления, этот баланс не остался бы на этом адресе в момент опустошения. Такое контрфактическое предположение не доказывает, что кражу можно было бы предотвратить полностью, поскольку кошелек назначения и средства контроля доступа также имели бы значение. Оно объясняет, почему сбой механизма перемещения средств не является второстепенной деталью: он определил, сколько стоимости находилось на скомпрометированном пути.

Взлом 2025 года был другим инцидентом

Отчет об инциденте за июль 2025 года описывал убыток примерно в 44 миллиона долларов с внутреннего операционного счета, использовавшегося для обеспечения ликвидности на бирже-партнере. CoinDCX заявила, что активы клиентов на сегрегированных холодных кошельках не пострадали и что она покрыла убыток из собственного казначейства. Новый убыток в размере 15,99 миллиона USDT является отдельным событием октября 2026 года, связанным с депозитами, поступающими на инфраструктуру, выведенную из эксплуатации после того более раннего взлома.

Эта связь важна, поскольку сама CoinDCX заявляет, что старая инфраструктура была скомпрометирована. Как только адрес или окружающая его система считаются уязвимыми, продолжение спасения депозитов через них требует особенно тщательного мониторинга и быстрого перемещения средств. Старый инцидент не может доказать, что вернулся тот же злоумышленник, и ни одно рассмотренное публичное доказательство не устанавливает личность человека, стоящего за переводами в октябре. Общая история инфраструктуры поднимает прямой операционный вопрос: почему там оставалось так много денег после того, как об опасности стало известно?

В 2025 году биржа также говорила о переработке системы безопасности и отделении клиентских кошельков от операционных счетов. Одновременное освещение взлома сервера описывало заявленную изоляцию первой потери. Второй инцидент показывает, что разделение основного хранения — лишь часть задачи. Депозиты проходят через адреса и автоматизированные сервисы, прежде чем достичь этого хранения. Старый маршрут приёма средств может создать потерю, даже если основные холодные кошельки остаются нетронутыми.

После первого инцидента торговля и вывод рупий возобновились, и фирма подтвердила, что понесёт убытки. Текущие заверения имеют ту же клиентскую форму, хотя механизм отличается. В июле 2025 года был взломан внутренний счёт ликвидности. В октябре 2026 года заявленной причиной сбоя стал сервис, который должен был собирать депозиты, поступающие на выведенную из эксплуатации инфраструктуру. Сравнение двух инцидентов требует раздельного рассмотрения этих механизмов; тот факт, что оба стоили компании денег, не является доказательством единого злоумышленника или повторного пути эксплуатации.

Это не означает, что клиенты пострадали от прямого списания. Это означает, что компания понесла убыток, выполняя обязательства по кредитованию, которое, по её словам, уже было предоставлено им. Оба утверждения могут быть верны одновременно. Их легко размывают заголовки, называющие событие либо безобидным перемещением старых кошельков, либо доказанной нехваткой клиентских балансов. CoinDCX признала реальный убыток компании и отрицала влияние на клиентские балансы; публичные данные не решают всех оставшихся бухгалтерских вопросов.

Почему важно первое опровержение

Когда следователи впервые распространили информацию о переводах, CoinDCX заявила, что её текущие кошельки не были взломаны, и предположила, что старые адреса могут давать ложную тревогу. Заявление касалось части проблемы, а именно того, была ли опустошена основная активная инфраструктура, но оно не объясняло, почему средства на старых адресах, по-видимому, были изъяты. К 25 октября фирма раскрыла реальный убыток и сбой процесса сбора средств.

CoinDCX признала, что могла бы общаться более проактивно. Расследование перемещения по блокчейну требует времени, особенно когда необходимо проверить метки адресов и внутренние балансы. Компания всё ещё может на раннем этапе сообщить, что известно и что неизвестно, не рассматривая неподтверждённую атрибуцию как окончательный вывод. Здесь разрыв между первым ответом и последующим отчётом позволил клиентам и независимым следователям спорить о том, была ли старая система неактивна в каком-либо значимом смысле.

Наиболее полезным продолжением было бы предоставление датированной хронологии сбоя сбора средств, того, когда мониторинг впервые увидел накопление баланса, сколько затронутых депозитов было зачислено и какие меры были приняты, чтобы остановить накопление дополнительных депозитов. Следует также различать деньги, замороженные у эмитента, и деньги, возвращённые и возвращённые клиентам. Такая детализация позволила бы клиентам оценить процесс, который дал сбой, вместо того чтобы полагаться на раннее опровержение или общие заверения.

Компания заявляет, что торговля, депозиты и выводы продолжались на протяжении всего времени. Непрерывный доступ является relevant evidence о непосредственном клиентском опыте, но это не аудит каждого актива и обязательства. Заявление о поглощении убытков фирмой, подкреплённое обновлёнными подтверждениями и способностью выполнять выводы, сделало бы вывод более устойчивым. У регуляторов также могут быть ожидания по отчётности, хотя в рассмотренной публичной записи не было выявлено подтверждённых действий, касающихся октябрьских переводов.

Вывод кошелька из эксплуатации требует большего, чем изменение приложения

Биржа может перестать отображать старый адрес для депозитов; она не может удалить этот адрес из TRON или заставить сохранённую форму отправителя забыть его. Она должна решить, отслеживать ли и спасать поздние депозиты, блокировать зачисление клиенту, где это возможно, или предупреждать, что восстановление может быть невозможно. Каждый выбор имеет последствия. Служба спасения создаёт обязательство продолжать наблюдение, даже если большинство клиентов перешли на новый адрес.

Подход CoinDCX разделил задачу на две части: сначала зачисление, затем сбор. Её октябрьское раскрытие показывает, что происходит, когда второй этап тихо останавливается. Таким образом, событие касается большего, чем скомпрометированный ключ. Оно выявляет несоответствие между бухгалтерским моментом, когда клиенту сообщают, что его деньги поступили, и моментом хранения, когда биржа фактически перемещает актив из уязвимого места.

Итоговая стоимость для CoinDCX может измениться, если активы будут возвращены. Компания сообщила о потере 15,99 млн USDT и не объявила о таком возврате в своем заявлении. Для клиентов решающими вопросами являются: можно ли вывести зачисленные балансы, будут ли будущие депозиты поступать на текущие адреса и устранила ли биржа пробел в мониторинге. Для более широкого рынка урок заключается в старом адресе, который продолжал выполнять новую работу. Его вывод из эксплуатации был неполным, пока реальные средства все еще поступали, а за их спасение отвечал отдельный автоматизированный процесс.

На что обратить внимание

• Хронология сбоя: Ищите даты, когда остановилась очистка, когда сработали оповещения и когда сотрудники впервые заметили накопление баланса.
• Сверка с клиентами: Проверьте наличие датированного учета зачисленных депозитов, замещающих активов и завершенных выводов.
• Возврат активов: Отделяйте USDT, замороженные Tether, от любых монет, фактически возвращенных CoinDCX.
• Техническая причина: Дождитесь доказательств того, как были опустошены устаревшие кошельки, вместо того чтобы предполагать, что вернулся июльский злоумышленник.
• Политика старых адресов: Следите за тем, изменит ли CoinDCX свою временную службу спасения и как она предупреждает клиентов, чьи сохраненные инструкции по депозиту по-прежнему указывают на выведенные из эксплуатации адреса.

Часто задаваемые вопросы