Uma carteira antiga da CoinDCX continuava recebendo depósitos. Depois, US$ 16 milhões desapareceram

As carteiras deveriam pertencer ao passado da CoinDCX. Após uma violação de segurança em julho de 2025, a exchange indiana havia substituído a infraestrutura comprometida e instruído os clientes a usar novos endereços de depósito. Alguns clientes, no entanto, continuaram enviando dinheiro para os antigos, e a empresa continuou creditando suas contas enquanto um serviço separado movia as moedas para fora. Em outubro, essa segunda etapa falhou.

Um endereço de criptomoeda não expira quando uma exchange o aposenta. Alguém pode salvá-lo em um formulário de saque, copiá-lo de uma mensagem antiga ou automatizar transferências para ele por meses. A blockchain aceitará a transação mesmo que o aplicativo atual da exchange exiba um destino diferente. A CoinDCX optou por reconhecer esses depósitos para seus clientes e varrer as moedas reais para uma custódia mais recente. A escolha protegeu as pessoas de perderem um depósito feito por engano, ao mesmo tempo que deixou um caminho através da infraestrutura antiga.

A explicação da empresa de 25 de outubro diz que esse caminho se rompeu. Ela não estabelece cada etapa da transferência não autorizada, e um leitor externo não pode ver o livro-razão interno da exchange. O resultado visível é uma falha de custódia incomumente instrutiva: os clientes podiam ter um saldo creditado no aplicativo enquanto o USDT depositado correspondente permanecia em um endereço já considerado inseguro. Como essa lacuna foi detectada, financiada e fechada importa além da perda manchete.

O endereço aposentado ainda tinha uma função

A CoinDCX afirma que os clientes continuaram depositando em endereços aposentados após o incidente de julho de 2025, apesar da orientação para usar os novos. Quando uma transferência chegava, a exchange creditava imediatamente o portfólio do cliente. Um serviço automatizado de varredura separado deveria mover a criptomoeda do endereço antigo para uma carteira segura. O cliente não precisava esperar por essa segunda transferência para usar o saldo creditado.

O design contém um trade-off. Se a CoinDCX se recusasse a reconhecer uma transferência para um endereço antigo, um cliente que reutilizasse instruções salvas poderia parecer perder dinheiro. Creditar primeiro dá à pessoa um saldo em conta rapidamente, mas a empresa assume a responsabilidade de mover ou substituir as moedas reais. Se a varredura falhar, os passivos nos livros da exchange podem aumentar mesmo enquanto as moedas permanecem em carteiras vulneráveis.

Um endereço antigo ser "descontinuado" pode, portanto, significar duas coisas diferentes. Ele pode não ser mais exibido para novos usuários ou destinado a operações rotineiras. Ele ainda pode receber depósitos na blockchain, ser monitorado pela exchange e ser usado em um fluxo de trabalho de recuperação. A disputa inicial de 22 de outubro girou em torno dessa distinção. Executivos da CoinDCX disseram que os endereços eram antigos, enquanto investigadores apontaram movimentações contínuas entre eles e as carteiras operacionais da exchange. A explicação posterior da empresa reconheceu que um processo continuou a lidar com depósitos ali.

É tentador chamar todo movimento por meio de um endereço aposentado de uso ativo comum, ou tratar "aposentado" como prova de que nenhum dinheiro poderia chegar. Nenhuma das duas descrições captura o arranjo que a CoinDCX agora descreveu. Os endereços não eram os destinos que seu aplicativo queria que os usuários escolhessem. Eles ainda eram monitorados, os clientes recebiam crédito pelos depósitos e a exchange mantinha um serviço destinado a mover os ativos adiante. Tal serviço deve funcionar de forma consistente se a empresa está assumindo o risco de perda do cliente.

O dinheiro se acumulou enquanto a varredura falhava

A CoinDCX diz que seu serviço automatizado de varredura falhou "por um determinado período", permitindo que os depósitos se acumulassem. Não informou quando a falha começou, se alertas foram disparados, quantos clientes estavam envolvidos ou por que um grande saldo não movimentado não acionou uma intervenção antes de 21 de outubro. Esses detalhes ausentes tornam difícil julgar se a fragilidade durou horas, semanas ou mais.

O estudo de transações TRON da Bitquery contabilizou 40 carteiras drenadas e colocou 15,82 milhões de USDT dos 15,99 milhões totais em um único endereço de depósito. Sua análise disse que o grande endereço continha 88 depósitos de um único depositante, nenhum dos quais havia sido movimentado desde março. Se a atribuição estiver correta, o intervalo entre esses depósitos e a remoção de outubro foi muito maior do que o curto atraso que um cliente poderia esperar de uma varredura automatizada. A blockchain pode mostrar transferências e saldos; ela não pode, por si só, mostrar se cada depósito foi creditado a um cliente ou como um alerta interno de monitoramento foi tratado.

A Bitquery também examinou os pequenos pagamentos em TRX necessários para mover USDT na TRON. Encontrou recargas de taxas para os endereços de depósito afetados, seguidas de transferências rotineiras, incluindo atividade em 21 de outubro. Uma exchange deve financiar um endereço com o token nativo da rede quando quer que esse endereço envie USDT. O padrão repetido ajuda a explicar por que os investigadores contestaram a alegação de que as carteiras simplesmente haviam sido abandonadas. Isso não identifica quem obteve os meios para drená-las nem prova a origem original de cada depósito.

A CoinDCX diz que notou atividade incomum em seus sistemas em 21 de outubro e viu movimentos onchain irregulares no dia seguinte, com relatos de sua comunidade levando a uma investigação mais profunda. A empresa diz que controles imediatos impediram um impacto nas carteiras ativas e na infraestrutura de negociação. Sua divulgação de 25 de outubro então confirmou a perda de 15,99 milhões de USDT. Essas são as descrições da empresa sobre detecção e contenção; a cadeia pública fornece o registro de transações, mas não os registros internos de eventos da empresa.

Um saldo de cliente e um saldo de carteira são diferentes

Um cliente de exchange geralmente vê um lançamento em conta, não uma moeda específica parada em um endereço de blockchain segregado atribuído exclusivamente a ele. A política declarada da CoinDCX para endereços antigos creditava a conta do usuário assim que o depósito chegava. A exchange então devia ao cliente o valor exibido, independentemente de sua varredura separada estar atrasada. Quando os ativos desapareceram da carteira antiga, a perda poderia ser suportada pela empresa se ela fornecesse fundos de reposição.

A CoinDCX diz que fez exatamente isso.Seu relatório de perdasconfirmado diz que a empresa absorveu os 15,99 milhões de USDT e mantém que os saldos dos clientes, as carteiras ativas e as operações não foram afetados. Essa é uma distinção material em relação a uma exchange que repassa perdas aos depositantes ou interrompe saques. É também uma alegação que merece acompanhamento com dados de reconciliação, reservas e saques, porque um observador externo não pode inspecionar todos os passivos dos clientes apenas visualizando os endereços envolvidos na drenagem.

A conta da exchange não torna os fundos desaparecidos imaginários. Um cliente ainda pode ter o saldo creditado integralmente enquanto a empresa pagou por um roubo ou uma perda operacional. Financeiramente, a firma precisa cobrir a lacuna com seus próprios ativos ou recuperar as moedas roubadas. Sua capacidade de fazê-lo deve ser avaliada a partir de divulgações financeiras datadas e de prova de reservas, juntamente com a continuidade da liquidação de saques, e não apenas pela frase "os fundos estão seguros".

A CoinDCX havia anunciado um fundo de proteção ao cliente com uma alocação inicial de cerca de US$ 6 milhões em 2024. A existência desse programa não demonstra que ele financiou a perda de outubro de 2026, que é maior do que a alocação original. A empresa afirma que absorveu o déficit. Um acompanhamento transparente identificaria se a reposição veio de ativos ordinários do tesouro, de uma reserva dedicada, de seguro ou de recuperações, sem pedir aos clientes que inferissem uma fonte de financiamento a partir do nome de um programa antigo.

Clientes que salvaram um endereço antigo devem atualizar suas instruções de pagamento. Em uma cadeia pública, o remetente ainda pode transmitir para o destino antigo, e a rede não saberá o que o aplicativo da CoinDCX recomenda atualmente. A exchange afirma que o suporte a endereços obsoletos é temporário. Se esse suporte terminar, o tratamento de um depósito acidental posterior pode mudar. O endereço atual no aplicativo da exchange é o único no qual um cliente deve confiar para uma nova transferência, com o ativo e a rede verificados no momento do envio.

Rastrear o USDT não identifica o ladrão

A Bitquery rastreou aproximadamente 9,63 milhões de USDT por meio de carteiras intermediárias até endereços de depósito que associou à OKX, Binance e Gate dentro de 18 horas após a transferência principal. Um pagamento que chega a um endereço associado a uma exchange pode dar aos investigadores um local para buscar registros ou cooperação. Não é prova de que a exchange nomeada realizou o roubo, aprovou-o ou ainda detém todo o dinheiro. A atribuição de endereços de serviço também pode ser revisada.

O mesmo estudo afirmou que a Tether congelou cerca de 2,21 milhões de USDT em nove carteiras em 22 de outubro. Um congelamento pode impedir que esses tokens específicos se movam, mas não é o mesmo que restituição à CoinDCX. O reembolso pode exigir processo legal, coordenação com o emissor e confirmação de propriedade. A declaração original da empresa não anunciou ativos recuperados. Relatar a soma congelada como dinheiro já devolvido superestimaria o que se sabe.

O registro público revela o tamanho e o caminho das transações muito mais prontamente do que o método de comprometimento. A CoinDCX referiu-se a vulnerabilidades desconhecidas em sua infraestrutura obsoleta. Não disse se a perda de outubro veio de chaves expostas em 2025, de uma falha de acesso posterior ou de alguma outra rota. A Bitquery declarou explicitamente que sua análise não poderia mostrar como a pessoa que movimentou os fundos obteve as chaves. A causa técnica precisa requer um relato pós-incidente do operador, idealmente com revisão independente.

Um endereço que detinha 15,82 milhões de USDT torna o momento especialmente consequente. Se as moedas tivessem sido varridas à medida que chegavam, esse saldo não teria permanecido naquele endereço no momento da drenagem. Tal contrafactual não prova que o roubo teria sido evitado por completo, porque a carteira de destino e os controles de acesso também importariam. Isso explica por que a falha do varredor não é um detalhe periférico: ela determinou quanto valor estava no caminho comprometido.

A violação de 2025 foi um incidente diferente

O relatório do incidente de julho de 2025 descreveu uma perda de aproximadamente US$ 44 milhões de uma conta operacional interna usada para provisão de liquidez em uma exchange parceira. A CoinDCX afirmou que os ativos dos clientes em carteiras frias segregadas não foram afetados e que cobriu a exposição com seu próprio tesouro. A nova perda de 15,99 milhões de USDT é um evento separado de outubro de 2026, envolvendo depósitos que chegaram a uma infraestrutura desativada após aquela violação anterior.

A conexão importa porque a própria CoinDCX afirma que a infraestrutura antiga havia sido comprometida. Uma vez que um endereço ou seu sistema ao redor seja considerado exposto, continuar a resgatar depósitos por meio dele exige monitoramento especialmente cuidadoso e movimentação rápida de fundos. O incidente antigo não pode estabelecer que o mesmo atacante retornou, e nenhuma evidência pública revisada identifica a pessoa por trás das transferências de outubro. O histórico de infraestrutura compartilhada levanta uma questão operacional direta: por que tanto dinheiro permaneceu lá depois que o perigo era conhecido?

Em 2025, a exchange também falou sobre redesenho de segurança e a separação das carteiras de clientes das contas operacionais. A cobertura contemporânea da violação do servidor descreveu o alegado isolamento da primeira perda. O segundo incidente mostra que segregar a custódia primária é apenas uma parte do trabalho. Os depósitos passam por endereços e serviços automatizados antes de chegar a essa custódia. Uma rota de entrada antiga pode criar uma perda mesmo que as carteiras frias principais permaneçam intactas.

Após o primeiro incidente, as negociações e as retiradas em rúpias foram retomadas e a empresa reiterou que arcaria com a perda. A garantia atual tem a mesma forma voltada ao cliente, embora o mecanismo seja diferente. Em julho de 2025, uma conta interna de liquidez foi violada. Em outubro de 2026, a falha declarada foi um serviço que deveria ter varrido os depósitos que chegavam à infraestrutura aposentada. Comparar os dois incidentes exige manter esses mecanismos separados; o fato de ambos terem custado dinheiro à empresa não é evidência de um único atacante ou de um caminho de exploração repetido.

Isso não significa que os clientes sofreram um débito direto. Significa que a empresa incorreu em uma perda enquanto honrava o crédito que diz já ter dado a eles. Ambas as proposições podem ser verdadeiras ao mesmo tempo. Elas são facilmente confundidas por manchetes que chamam o evento de um movimento inofensivo de carteira antiga ou de um comprovado déficit no saldo dos clientes. A CoinDCX reconheceu uma perda real da empresa e negou um impacto nos saldos dos clientes; os dados públicos não resolvem todas as questões contábeis remanescentes.

Por que a primeira negação importa

Quando os investigadores circularam as transferências pela primeira vez, a CoinDCX disse que suas carteiras atuais não haviam sido violadas e sugeriu que os endereços antigos poderiam estar produzindo um falso alarme. A declaração abordou parte da preocupação, ou seja, se a infraestrutura ativa primária havia sido drenada, mas não explicou por que os fundos nos endereços antigos pareciam ter sido tomados. Em 25 de outubro, a empresa havia divulgado uma perda real e um processo de varredura falho.

A CoinDCX reconheceu que poderia ter se comunicado de forma mais proativa. Investigar um movimento de blockchain leva tempo, especialmente quando rótulos de endereços e saldos internos precisam ser verificados. Uma empresa ainda pode dizer o que é conhecido e desconhecido desde o início sem tratar uma atribuição não verificada como uma conclusão finalizada. Aqui, a lacuna entre a primeira resposta e o relato posterior permitiu que clientes e investigadores independentes discutissem se o sistema antigo estava inativo em algum sentido significativo.

O acompanhamento mais útil daria uma linha do tempo datada da interrupção da varredura, quando o monitoramento viu pela primeira vez o saldo acumulado, quantos depósitos afetados foram creditados e as medidas tomadas para impedir que depósitos adicionais se acumulassem. Também deveria distinguir o dinheiro congelado em um emissor do dinheiro recuperado e devolvido. Tal detalhe permitiria aos clientes avaliar o processo que falhou em vez de depender de uma negação inicial ou de uma garantia geral.

A empresa afirma que as negociações, depósitos e retiradas continuaram durante todo o período. O acesso contínuo é evidência relevante sobre a experiência imediata do cliente, mas não é uma auditoria de cada ativo e passivo. Uma declaração da absorção de perdas da empresa, respaldada por atestações atualizadas e pela capacidade de honrar as retiradas, tornaria a conclusão mais duradoura. Os reguladores também podem ter expectativas de relatório, embora nenhuma ação confirmada relativa às transferências de outubro tenha sido identificada no registro público revisado.

Aposentar uma carteira exige mais do que mudar o aplicativo

Uma exchange pode parar de exibir um endereço de depósito antigo; ela não pode remover esse endereço da TRON nem forçar o formulário salvo de um remetente a esquecê-lo. Ela deve decidir se monitora e resgata depósitos tardios, se bloqueia o cliente de receber crédito onde possível, ou se avisa que a recuperação pode não ser possível. Toda escolha tem consequências. Um serviço de resgate cria a obrigação de continuar observando, mesmo que a maioria dos clientes tenha migrado para o novo endereço.

A abordagem da CoinDCX dividiu a tarefa em duas: creditar primeiro, depois varrer. Sua divulgação de outubro mostra o que acontece quando a segunda etapa para silenciosamente. O evento, portanto, é sobre mais do que uma chave comprometida. Ele expõe uma incompatibilidade entre o momento contábil em que o cliente é informado de que seu dinheiro chegou e o momento de custódia em que a exchange realmente move o ativo para fora de um local vulnerável.

O custo final para a CoinDCX pode mudar se os ativos forem recuperados. A empresa relatou uma perda de 15,99 milhões de USDT e não anunciou tal recuperação em sua declaração. Para os clientes, as questões decisivas são se os saldos creditados podem ser sacados, se os depósitos futuros vão para os endereços atuais e se a exchange corrigiu a falha de monitoramento. Para o mercado em geral, a lição está no endereço antigo que continuou realizando novo trabalho. Sua aposentadoria foi incompleta enquanto fundos reais ainda chegavam e um processo automatizado separado era responsável por salvá-los.

O que observar

• Cronologia da interrupção: Procure as datas em que a varredura parou, quando os alertas dispararam e quando a equipe notou pela primeira vez o acúmulo de saldo.
• Reconciliação de clientes: Verifique se há uma contabilização datada dos depósitos creditados, ativos de substituição e saques concluídos.
• Recuperação de ativos: Separe os USDT congelados pela Tether de quaisquer moedas realmente devolvidas à CoinDCX.
• Causa técnica: Aguarde evidências sobre como as carteiras obsoletas foram drenadas, em vez de presumir que o atacante de julho retornou.
• Política de endereços antigos: Observe se a CoinDCX altera seu serviço temporário de resgate e como alerta os clientes cujas instruções de depósito salvas ainda apontam para endereços aposentados.

Perguntas frequentes