Ein altes CoinDCX-Wallet erhielt weiterhin Einzahlungen – dann verschwanden 16 Mio. USD

Diese Wallets sollten eigentlich der Vergangenheit von CoinDCX angehören. Nach einem Sicherheitsvorfall im Juli 2025 hatte die indische Börse die kompromittierte Infrastruktur ersetzt und die Kunden aufgefordert, neue Einzahlungsadressen zu verwenden. Einige Kunden schickten jedoch weiterhin Geld an die alten Adressen, und das Unternehmen schrieb es ihren Konten weiterhin gut, während ein separater Dienst die Coins abtransportierte. Im Oktober scheiterte dieser zweite Schritt.

Eine Kryptowährungsadresse läuft nicht ab, wenn eine Börse sie außer Betrieb nimmt. Jemand kann sie in einem Auszahlungsformular speichern, aus einer alten Nachricht kopieren oder monatelang Überweisungen dorthin automatisieren. Die Blockchain akzeptiert die Transaktion auch dann, wenn die aktuelle App der Börse ein anderes Ziel anzeigt. CoinDCX entschied sich, diese Einzahlungen für seine Kunden anzuerkennen und die tatsächlichen Coins in eine neuere Verwahrung zu überführen. Diese Entscheidung schützte die Menschen davor, eine irrtümliche Einzahlung zu verlieren, ließ aber einen Weg über die alte Infrastruktur offen.

Die Erklärung des Unternehmens vom 25. Oktober besagt, dass dieser Weg zusammenbrach. Sie legt nicht jeden Schritt der unbefugten Übertragung dar, und ein außenstehender Leser kann das interne Hauptbuch der Börse nicht einsehen. Das sichtbare Ergebnis ist ein ungewöhnlich lehrreiches Verwahrungsversagen: Kunden konnten ein gutgeschriebenes Guthaben in der App haben, während die entsprechenden eingezahlten USDT auf einer bereits als unsicher geltenden Adresse verblieben. Wie diese Lücke entdeckt, finanziert und geschlossen wurde, ist über den Schlagzeilenverlust hinaus von Bedeutung.

Die stillgelegte Adresse hatte noch eine Aufgabe

CoinDCX gibt an, dass Kunden trotz der Anweisung, neue Adressen zu verwenden, weiterhin Einzahlungen an Adressen vornahmen, die nach dem Vorfall im Juli 2025 stillgelegt worden waren. Wenn eine Überweisung einging, schrieb die Börse dem Kundenportfolio sofort eine Gutschrift gut. Ein separater automatisierter Sweeper sollte die Kryptowährung von der alten Adresse in eine sichere Wallet verschieben. Der Kunde musste nicht auf diese zweite Überweisung warten, um das gutgeschriebene Guthaben zu nutzen.

Das Design enthält einen Kompromiss. Wenn CoinDCX sich weigerte, eine Überweisung an eine alte Adresse anzuerkennen, könnte ein Kunde, der gespeicherte Anweisungen wiederverwendete, scheinbar Geld verlieren. Die vorherige Gutschrift verschafft der Person schnell ein Kontoguthaben, aber das Unternehmen übernimmt die Verantwortung dafür, die tatsächlichen Coins zu verschieben oder zu ersetzen. Wenn das Sweeping scheitert, können die Verbindlichkeiten in den Büchern der Börse steigen, während die Coins in gefährdeten Wallets verbleiben.

Dass eine alte Adresse „stillgelegt“ wird, kann daher zwei verschiedene Dinge bedeuten. Sie wird neuen Nutzern möglicherweise nicht mehr angezeigt oder ist nicht mehr für den Routinebetrieb vorgesehen. Sie kann weiterhin Blockchain-Einzahlungen empfangen, von der Börse überwacht und in einem Wiederherstellungsablauf verwendet werden. Der anfängliche Streit vom 22. Oktober drehte sich um diese Unterscheidung. CoinDCX-Führungskräfte sagten, die Adressen seien alt, während Ermittler auf fortgesetzte Bewegungen zwischen ihnen und den operativen Wallets der Börse hinwiesen. Die spätere Erklärung des Unternehmens räumte ein, dass ein Prozess weiterhin Einzahlungen dort abwickelte.

Es ist verlockend, jede Bewegung über eine stillgelegte Adresse als gewöhnliche aktive Nutzung zu bezeichnen oder „stillgelegt“ als Beweis dafür zu behandeln, dass kein Geld eingehen konnte. Keine dieser Beschreibungen erfasst die Regelung, die CoinDCX nun beschrieben hat. Die Adressen waren nicht die Ziele, die seine App den Nutzern zur Auswahl anbot. Sie wurden weiterhin überwacht, Kunden erhielten Gutschriften für Einzahlungen, und die Börse unterhielt einen Dienst, der dazu bestimmt war, Vermögenswerte weiterzuleiten. Ein solcher Dienst muss zuverlässig funktionieren, wenn das Unternehmen das Verlustrisiko des Kunden übernimmt.

Das Geld sammelte sich an, während der Sweep versagte

CoinDCX erklärt, sein automatisierter Sweeping-Dienst habe „für einen bestimmten Zeitraum“ versagt, wodurch sich Einzahlungen ansammeln konnten. Das Unternehmen hat nicht gesagt, wann das Versagen begann, ob Warnungen ausgelöst wurden, wie viele Kunden betroffen waren oder warum ein großer nicht bewegter Saldo nicht vor dem 21. Oktober eine Intervention auslöste. Diese fehlenden Details machen es schwierig zu beurteilen, ob die Schwäche Stunden, Wochen oder länger anhielt.

Bitquerys TRON-Transaktionsstudie zählte 40 geleerte Wallets und ordnete 15,82 Millionen USDT der insgesamt 15,99 Millionen einer einzigen Einzahlungsadresse zu. Ihre Analyse besagte, dass die große Adresse 88 Einzahlungen von einem Einzahler hielt, von denen keine seit März weitergeleitet worden war. Wenn die Zuordnung korrekt ist, war das Intervall zwischen diesen Einzahlungen und der Entfernung im Oktober weit länger als die kurze Verzögerung, die ein Kunde von einem automatisierten Sweep erwarten könnte. Die Blockchain kann Transfers und Salden zeigen; sie kann für sich genommen nicht zeigen, ob jede Einzahlung einem Kunden gutgeschrieben wurde oder wie mit einer internen Überwachungswarnung umgegangen wurde.

Bitquery untersuchte auch die kleinen TRX-Zahlungen, die erforderlich sind, um USDT auf TRON zu bewegen. Es fand Gebührenaufstockungen für betroffene Einzahlungsadressen, gefolgt von routinemäßigen Transfers, einschließlich Aktivitäten am 21. Oktober. Eine Börse muss eine Adresse mit dem nativen Token des Netzwerks ausstatten, wenn sie möchte, dass diese Adresse USDT sendet. Das wiederholte Muster hilft zu erklären, warum Ermittler die Behauptung infrage stellten, die Wallets seien einfach aufgegeben worden. Es identifiziert nicht, wer die Mittel zum Leeren erlangte, und beweist nicht die ursprüngliche Quelle jeder Einzahlung.

CoinDCX erklärt, am 21. Oktober ungewöhnliche Aktivität in seinen Systemen bemerkt und am nächsten Tag irreguläre Onchain-Bewegungen festgestellt zu haben, wobei Berichte aus seiner Community eine tiefergehende Untersuchung auslösten. Das Unternehmen sagt, sofortige Kontrollen hätten eine Auswirkung auf aktive Wallets und die Handelsinfrastruktur verhindert. Seine Offenlegung vom 25. Oktober bestätigte dann den Verlust von 15,99 Millionen USDT. Dies sind die Beschreibungen des Unternehmens von Erkennung und Eindämmung; die öffentliche Chain liefert den Transaktionsdatensatz, aber nicht die internen Ereignisprotokolle des Unternehmens.

Ein Kundensaldo und ein Wallet-Saldo sind unterschiedlich

Ein Börsenkunde sieht im Allgemeinen einen Kontoeintrag, nicht eine bestimmte Münze, die in einer ausschließlich ihm zugewiesenen, getrennten Blockchain-Adresse liegt. Die erklärte Richtlinie von CoinDCX für alte Adressen schrieb dem Nutzerkonto den Betrag gut, sobald die Einzahlung einging. Die Börse schuldete dem Kunden dann den angezeigten Betrag, unabhängig davon, ob ihr separater Sweep verzögert war. Als die Vermögenswerte aus dem alten Wallet verschwanden, konnte der Verlust vom Unternehmen getragen werden, wenn es Ersatzmittel bereitstellte.

CoinDCX sagt, genau das getan zu haben.Sein bestätigter Verlustbericht besagt, dass das Unternehmen die 15,99 Millionen USDT absorbierte und darauf beharrt, dass Kundensalden, aktive Wallets und der Betrieb nicht betroffen waren. Das ist ein wesentlicher Unterschied zu einer Börse, die Verluste an Einzahler weitergibt oder Auszahlungen aussetzt. Es ist auch eine Behauptung, die eine Nachverfolgung mit Abgleich-, Reserve- und Auszahlungsdaten verdient, denn ein externer Beobachter kann nicht alle Kundenverbindlichkeiten allein durch Betrachtung der an der Leerung beteiligten Adressen prüfen.

Das Konto der Börse macht die fehlenden Gelder nicht imaginär. Ein Kunde kann weiterhin das vollständig gutgeschriebene Guthaben haben, während das Unternehmen für einen Diebstahl oder einen operativen Verlust bezahlt hat. Finanziell muss das Unternehmen die Lücke aus eigenen Vermögenswerten füllen oder gestohlene Coins zurückgewinnen. Seine Fähigkeit dazu sollte anhand datierter Finanz- und Proof-of-Reserves-Offenlegungen bewertet werden, zusammen mit der Frage, ob Auszahlungen weiterhin abgewickelt werden, und nicht allein anhand des Satzes „die Gelder sind sicher“.

CoinDCX hatte zuvor einen Kundenschutzfonds angekündigt mit einer anfänglichen Zuweisung von etwa 6 Millionen Dollar im Jahr 2024. Die Existenz dieses Programms zeigt nicht, dass es den Verlust vom Oktober 2026 finanziert hat, der größer ist als die ursprüngliche Zuweisung. Das Unternehmen sagt, es habe die Deckungslücke absorbiert. Eine transparente Nachverfolgung würde identifizieren, ob der Ersatz aus gewöhnlichen Treasury-Vermögenswerten, einer zweckgebundenen Rücklage, Versicherung oder Rückgewinnungen stammte, ohne dass Kunden die Finanzierungsquelle aus dem Namen eines alten Programms ableiten müssen.

Kunden, die eine alte Adresse gespeichert haben, sollten ihre Zahlungsanweisungen aktualisieren. Auf einer öffentlichen Chain kann der Sender weiterhin an das alte Ziel senden, und das Netzwerk wird nicht wissen, was die CoinDCX-App derzeit empfiehlt. Die Börse sagt, die Unterstützung für veraltete Adressen sei vorübergehend. Wenn diese Unterstützung endet, kann sich die Handhabung einer späteren versehentlichen Einzahlung ändern. Die aktuelle In-App-Adresse einer Börse ist die einzige, auf die sich ein Kunde für eine neue Überweisung verlassen sollte, wobei das Asset und das Netzwerk zum Zeitpunkt des Sendens überprüft werden.

Die Rückverfolgung der USDT identifiziert nicht den Dieb

Bitquery verfolgte etwa 9,63 Millionen USDT über Zwischenwallets zu Einzahlungsadressen, die es mit OKX, Binance und Gate in Verbindung brachte, innerhalb von 18 Stunden nach der Hauptüberweisung. Eine Zahlung, die an einer mit einer Börse verbundenen Adresse eingeht, kann Ermittlern einen Ort geben, an dem sie Aufzeichnungen oder Kooperation suchen können. Es ist kein Beweis dafür, dass die genannte Börse den Diebstahl ausgeführt, genehmigt hat oder noch das gesamte Geld hält. Die Zuordnung von Service-Adressen kann ebenfalls revidiert werden.

Dieselbe Studie besagte, dass Tether am 22. Oktober etwa 2,21 Millionen USDT über neun Wallets eingefroren hat. Ein Einfrieren kann verhindern, dass sich diese bestimmten Token bewegen, aber es ist nicht dasselbe wie eine Rückerstattung an CoinDCX. Eine Erstattung könnte ein rechtliches Verfahren, Koordination mit dem Emittenten und Bestätigung des Eigentums erfordern. Die ursprüngliche Unternehmenserklärung kündigte keine zurückgewonnenen Vermögenswerte an. Die gemeldete eingefrorene Summe als bereits zurückgezahltes Geld zu melden, würde überzeichnen, was bekannt ist.

Die öffentliche Aufzeichnung offenbart die Größe und den Pfad von Transaktionen viel leichter als die Methode der Kompromittierung. CoinDCX verwies auf unbekannte Schwachstellen in seiner veralteten Infrastruktur. Es sagte nicht, ob der Verlust vom Oktober auf im Jahr 2025 exponierte Schlüssel, ein späteres Zugriffsversagen oder einen anderen Weg zurückzuführen war. Bitquery erklärte ausdrücklich, dass seine Analyse nicht zeigen konnte, wie die Person, die die Gelder bewegte, die Schlüssel erlangte. Die genaue technische Ursache erfordert einen Bericht des Betreibers nach dem Vorfall, idealerweise mit unabhängiger Überprüfung.

Eine Adresse, die 15,82 Millionen USDT hält, macht den Zeitpunkt besonders folgenreich. Wenn die Coins bei ihrer Ankunft gesweept worden wären, wäre dieses Guthaben zum Zeitpunkt der Abziehung nicht an dieser Adresse verblieben. Ein solches kontrafaktisches Szenario beweist nicht, dass der Diebstahl insgesamt verhindert worden wäre, weil auch die Ziel-Wallet und die Zugriffskontrollen eine Rolle spielen würden. Es erklärt jedoch, warum das Versagen des Sweepers kein peripheres Detail ist: Es bestimmte, wie viel Wert sich im kompromittierten Pfad befand.

Der Vorfall von 2025 war ein anderer Vorfall

Der Vorfallbericht vom Juli 2025 beschrieb einen Verlust von etwa 44 Millionen Dollar von einem internen operativen Konto, das für die Liquiditätsbereitstellung an einer Partnerbörse genutzt wurde. CoinDCX sagte, die Kundenvermögenswerte in segregierten Cold Wallets seien nicht betroffen gewesen und es habe die Exposition aus seinem eigenen Treasury gedeckt. Der neue Verlust von 15,99 Millionen USDT ist ein separates Ereignis im Oktober 2026, bei dem Einzahlungen an Infrastruktur eingingen, die nach dem früheren Vorfall stillgelegt wurde.

Die Verbindung ist relevant, weil CoinDCX selbst sagt, dass die alte Infrastruktur kompromittiert worden war. Sobald eine Adresse oder ihr umgebendes System als exponiert gilt, erfordert die weitere Rettung von Einzahlungen über sie eine besonders sorgfältige Überwachung und schnelle Bewegung der Gelder. Der alte Vorfall kann nicht belegen, dass derselbe Angreifer zurückkehrte, und keine geprüfte öffentliche Evidenz identifiziert die Person hinter den Transfers vom Oktober. Die gemeinsame Infrastrukturhistorie wirft jedoch eine einfache operative Frage auf: Warum blieb so viel Geld dort, nachdem die Gefahr bekannt war?

Im Jahr 2025 sprach die Börse auch über eine Sicherheitsneugestaltung und die Trennung von Kundenwallets von operativen Konten. Zeitgenössische Berichterstattung über die Serververletzung beschrieb die behauptete Isolierung des ersten Verlusts. Der zweite Vorfall zeigt, dass die Trennung der primären Verwahrung nur ein Teil der Aufgabe ist. Einzahlungen durchlaufen Adressen und automatisierte Dienste, bevor sie diese Verwahrung erreichen. Eine alte Eingangsroute kann einen Verlust verursachen, selbst wenn die Haupt-Cold-Wallets unberührt bleiben.

Nach dem ersten Vorfall wurden der Handel und Rupien-Abhebungen wieder aufgenommen und das Unternehmen bekräftigte, dass es den Verlust tragen würde. Die aktuelle Zusicherung hat dieselbe kundengerichtete Form, obwohl der Mechanismus sich unterscheidet. Im Juli 2025 wurde ein internes Liquiditätskonto kompromittiert. Im Oktober 2026 war der angegebene Fehler ein Dienst, der Einzahlungen hätte sweepen sollen, die in stillgelegter Infrastruktur eintrafen. Der Vergleich der beiden Vorfälle erfordert, diese Mechanismen getrennt zu halten; die Tatsache, dass beide das Unternehmen Geld kosteten, ist kein Beweis für einen einzigen Angreifer oder einen wiederholten Exploit-Pfad.

Das bedeutet nicht, dass Kunden eine direkte Belastung erlitten haben. Es bedeutet, dass das Unternehmen einen Verlust erlitt, während es die Gutschrift einhielt, die es nach eigener Aussage bereits gewährt hatte. Beide Aussagen können gleichzeitig wahr sein. Sie werden leicht durch Schlagzeilen verwischt, die das Ereignis entweder als harmlose Bewegung einer alten Wallet oder als bewiesene Unterdeckung von Kundenguthaben bezeichnen. CoinDCX hat einen echten Unternehmensverlust eingeräumt und eine Auswirkung auf Kundenguthaben bestritten; öffentliche Daten klären nicht jede verbleibende buchhalterische Frage.

Warum die erste Dementierung wichtig ist

Als Ermittler die Transfers erstmals verbreiteten, erklärte CoinDCX, seine aktuellen Wallets seien nicht kompromittiert worden, und deutete an, die alten Adressen könnten einen Fehlalarm auslösen. Die Erklärung adressierte einen Teil der Sorge, nämlich ob die primäre aktive Infrastruktur geleert worden war, erklärte aber nicht, warum Gelder in den alten Adressen offenbar entnommen worden waren. Bis zum 25. Oktober hatte das Unternehmen einen echten Verlust und einen fehlgeschlagenen Sweeping-Prozess offengelegt.

CoinDCX räumte ein, dass es proaktiver hätte kommunizieren können. Die Untersuchung einer Blockchain-Bewegung dauert Zeit, insbesondere wenn Adresslabels und interne Salden geprüft werden müssen. Ein Unternehmen kann dennoch früh sagen, was bekannt und was unbekannt ist, ohne eine unbestätigte Zuordnung als abgeschlossene Feststellung zu behandeln. Hier ließ die Lücke zwischen der ersten Antwort und der späteren Darstellung Kunden und unabhängige Ermittler darüber streiten, ob das alte System in irgendeinem sinnvollen Sinne inaktiv war.

Die nützlichste Nachverfolgung würde eine datierte Zeitleiste des Sweep-Ausfalls liefern, wann die Überwachung erstmals den sich ansammelnden Saldo sah, wie viele betroffene Einzahlungen gutgeschrieben wurden und welche Maßnahmen ergriffen wurden, um weitere Einzahlungen am Ansammeln zu hindern. Sie sollte auch zwischen bei einem Emittenten eingefrorenem Geld und wiederhergestelltem und zurückgegebenem Geld unterscheiden. Solche Details würden es Kunden ermöglichen, den fehlgeschlagenen Prozess zu bewerten, anstatt sich auf eine frühe Dementierung oder eine allgemeine Zusicherung zu verlassen.

Das Unternehmen sagt, Handel, Einzahlungen und Abhebungen seien durchgehend fortgesetzt worden. Fortgesetzter Zugang ist relevante Evidenz für die unmittelbare Kundenerfahrung, aber er ist keine Prüfung jedes Vermögenswerts und jeder Verbindlichkeit. Eine Erklärung der Verlustabsorption des Unternehmens, gestützt auf aktualisierte Attestierungen und die Fähigkeit, Abhebungen zu bedienen, würde die Schlussfolgerung dauerhafter machen. Regulierungsbehörden könnten auch Berichtserwartungen haben, obwohl in dem geprüften öffentlichen Record keine bestätigte Maßnahme bezüglich der Oktober-Transfers identifiziert wurde.

Eine Wallet stillzulegen erfordert mehr als eine App-Änderung

Eine Börse kann aufhören, eine alte Einzahlungsadresse anzuzeigen; sie kann diese Adresse nicht aus TRON entfernen oder ein gespeichertes Formular eines Senders zwingen, sie zu vergessen. Sie muss entscheiden, ob sie späte Einzahlungen überwacht und rettet, den Kunden nach Möglichkeit an der Gutschrift hindert oder warnt, dass eine Wiederherstellung möglicherweise nicht möglich ist. Jede Wahl hat Konsequenzen. Ein Rettungsdienst schafft eine Verpflichtung, weiter zu beobachten, obwohl die meisten Kunden zur neuen Adresse gewechselt sind.

Der Ansatz von CoinDCX teilte die Aufgabe in zwei Teile: zuerst gutschreiben, dann sweepen. Seine Offenlegung vom Oktober zeigt, was passiert, wenn der zweite Schritt stillschweigend aufhört. Das Ereignis handelt daher von mehr als einem kompromittierten Schlüssel. Es legt eine Diskrepanz offen zwischen dem buchhalterischen Moment, in dem einem Kunden gesagt wird, sein Geld sei angekommen, und dem Verwahrungsmoment, in dem die Börse den Vermögenswert tatsächlich aus einem gefährdeten Ort bewegt.

Die endgültigen Kosten für CoinDCX können sich ändern, falls Vermögenswerte zurückgewonnen werden. Das Unternehmen hat einen Verlust von 15,99 Millionen USDT gemeldet und eine solche Rückgewinnung in seiner Erklärung nicht angekündigt. Für Kunden sind die entscheidenden Fragen, ob gutgeschriebene Guthaben abgehoben werden können, ob künftige Einzahlungen an aktuelle Adressen gehen und ob die Börse die Überwachungslücke geschlossen hat. Für den breiteren Markt liegt die Lehre in der alten Adresse, die weiterhin neue Arbeit verrichtete. Ihre Stilllegung war unvollständig, solange echte Gelder noch ankamen und ein separater automatisierter Prozess für ihre Rettung zuständig war.

Worauf zu achten ist

• Zeitplan des Ausfalls: Achten Sie auf die Daten, an denen der Sweep stoppte, wann Warnmeldungen ausgelöst wurden und wann das Personal erstmals bemerkte, dass sich das Guthaben anhäufte.
• Kundenabstimmung: Prüfen Sie auf eine datierte Abrechnung von gutgeschriebenen Einzahlungen, Ersatzvermögenswerten und abgeschlossenen Abhebungen.
• Rückgewinnung von Vermögenswerten: Unterscheiden Sie von Tether eingefrorene USDT von tatsächlich an CoinDCX zurückgegebenen Coins.
• Technische Ursache: Warten Sie auf Belege dafür, wie die veralteten Wallets geleert wurden, anstatt anzunehmen, dass der Angreifer vom Juli zurückgekehrt ist.
• Richtlinie für alte Adressen: Beobachten Sie, ob CoinDCX seinen vorübergehenden Rettungsdienst ändert und wie es Kunden warnt, deren gespeicherte Einzahlungsanweisungen noch auf stillgelegte Adressen verweisen.

FAQ