Ключ до інциденту CoinDCX полягає в очевидній прогалині між «гаманець було деактивовано» та «пов'язані процедури обробки коштів все ще працюють».
Згідно із заявою, опублікованою CoinDCX 25 жовтня, задіяний гаманець належав до старої операційної інфраструктури, яку було залишено після інциденту безпеки в липні 2025 року. Оскільки деякі користувачі все ще переказували активи на застарілі адреси, платформа вирішила продовжувати обліковувати пов'язані депозити, а потім через сервіс автоматичного змітання переказувати кошти до основного гаманця. Однак протягом певного періоду сервіс автоматичного змітання не працював належним чином, через що кошти застрягли на старих адресах і врешті-решт призвели до втрати приблизно 15,99 млн USDT.
З точки зору користувацького досвіду, такий підхід не є цілком нерозумним. Перекази криптовалюти є незворотними. Якщо користувачі переказують кошти на старі адреси, а біржа просто відмовляється від їх обробки, користувачі можуть опинитися в скрутному становищі, коли не зможуть повернути свої активи. Продовження ідентифікації старих адрес і обробки помилково переказаних депозитів насправді є спробою знайти баланс між обслуговуванням користувачів і міграцією інфраструктури.
Але саме тут і виникає проблема: коли біржа вирішує продовжувати обробку коштів на старих адресах, це означає, що вона не може просто припинити відображати ці адреси й вважати, що пов'язана відповідальність за безпеку вичерпана. Допоки старі адреси можуть отримувати активи, платформа повинна чітко визначити, хто відповідає за моніторинг, як переказуються кошти, як аномалії запускають оповіщення та яких заходів слід вживати в разі збою системи змітання.
Іншими словами, той факт, що старий гаманець більше не є частиною звичайних бізнес-процесів, не означає, що він вийшов за межі управління ризиками. Якщо платформа все ще обліковує пов'язані депозити, але не може забезпечити переказ коштів, як очікувалося, то старі адреси насправді все ще перебувають у межах операційної ланцюга відповідальності біржі.
Саме тому цей інцидент заслуговує на увагу галузі. Атакувальники використали не лише адресу гаманця з уразливостями безпеки, а й можливі управлінські прогалини між виведенням гаманця з експлуатації, обробкою депозитів користувачів і автоматичним змітанням.
Від 44 мільйонів доларів до 16 мільйонів доларів: чому ризик знову з'явився?
CoinDCX зазнала інциденту безпеки на суму приблизно 44 мільйони доларів у липні 2025 року. Втрата приблизно 15,99 млн USDT цього разу не є точно такою ж ситуацією, як попередній інцидент, але є зв'язок, який варто поставити під сумнів: після попереднього інциденту безпеки чи були ризики старої інфраструктури достатньо ізольовані, і чи були пов'язані процедури обробки активів систематично виправлені?
CoinDCX заявила, що задіяний старий гаманець було залишено після інциденту 2025 року, але це розслідування виявило, що сервіс автоматичного змітання протягом певного часу не працював, через що кошти накопичувалися. Платформа заявила, що збитки цього разу будуть покриті компанією, що поточні торгові та гаманцеві системи не постраждали, а баланси коштів користувачів також не зазнали впливу.
Це означає, що два інциденти не можна просто ототожнювати як один і той самий тип атаки, а також не можна прямо стверджувати за відсутності повного судово-експертного звіту, що вся архітектура безпеки платформи систематично зазнала краху. Однак повторна поява значних ризиків, пов'язаних зі старими гаманцями, достатньо, щоб спонукати сторонніх осіб запитати: чи попереднє виправлення безпеки лише замінило деякі адреси та системи, чи вже охопило повні процеси управління ключами, моніторингу історичних адрес, обробки аномальних депозитів і змітання коштів?
У повсякденній діяльності централізованих бірж гаманцева система зазвичай є не набором незалежних адрес, а складною архітектурою, що включає адреси для депозитів, сервіси змітання, гарячі гаманці, холодні гаманці, постачальників ліквідності та внутрішні системи обліку. Проблеми в будь-якій ланці можуть вплинути на рух коштів. Якщо виправлення безпеки зосереджується лише на заміні ключів або міграції активних гаманців, без одночасного очищення історичних дозволів, деактивації пов'язаних сервісів і постійного моніторингу старих адрес, ризики можуть знову з'явитися в інших формах.
Що ще більш примітно, автоматизовані системи самі по собі не є тотожними безпеці. Автоматичне змітання може зменшити ручні операції та підвищити ефективність обробки коштів, але якщо перебої в обслуговуванні, накопичення завдань або аномальні стани залишаються непоміченими, інструменти, спочатку призначені для зниження операційних витрат, також можуть стати каналами накопичення ризиків.
Тому цей інцидент насправді перевіряє не те, чи має біржа холодні гаманці, а те, чи може вона довести, що весь життєвий цикл коштів перебуває в стані, який можна відстежувати, простежувати та своєчасно втручатися.
Чому дані он-чейн мають більшу вагу, ніж негайна усна відповідь?
Ще однією важливою підказкою в інциденті є часовий розрив між початковою реакцією CoinDCX на аномальні перекази та її подальшою офіційною заявою.
22 жовтня генеральний директор Суміт Гупта відреагував на попередження про аномальний переказ, підняте он-чейн дослідником, заявивши, що задіяна адреса належала старому гаманцю, постраждалому в інциденті безпеки 2025 року, і що попередження могло бути "хибним спрацюванням". Пізніше он-чейн дослідник ZachXBT висловив сумніви, вказавши, що принаймні одна із задіяних адрес все ще використовувалася постачальником ліквідності після інциденту в липні 2025 року і переказувала кошти на поточний гарячий гаманець CoinDCX у квітні та травні 2026 року. CoinDCX зрештою 25 жовтня визнала, що зі старою інфраструктурою були проблеми, і розкрила суму збитків.
Цей процес відображає дедалі очевиднішу зміну в криптоіндустрії: публічний он-чейн реєстр змінює інформаційні відносини між біржами та ринком.
Рух коштів у традиційних фінансових установах зазвичай покладається на внутрішні реєстри, аудиторські звіти та регуляторні розкриття, що ускладнює для зовнішніх спостерігачів негайне розуміння конкретних шляхів транзакцій після виникнення інциденту. Однак у середовищі публічного ланцюга час переказу, сума, хеш транзакції та потоки коштів між адресами можуть безперервно відстежуватися зовнішніми дослідниками. Хоча фактичних контролерів за адресами може бути неможливо безпосередньо ідентифікувати, публічних даних достатньо, щоб перевірити деякі пояснення установ.
Це не означає, що кожне судження он-чейн дослідників обов'язково є правильним. Он-чейн записи можуть довести, коли і скільки активу було переказано, але самі по собі вони не обов'язково доводять, хто контролював адресу, як кошти обліковувалися всередині біржі або як сформувалася конкретна вразливість. Тому визначення характеру інциденту все ще потребує поєднання заяв платформи, технічних розслідувань і внутрішніх бухгалтерських записів.
Але для бірж он-чейн інформація вже не є лише інструментом для підзвітності постфактум; вона також може стати важливою основою для оцінки ризику ринком. Коли публічні дані суттєво відрізняються від початкового пояснення установи, установа повинна надати чіткіші докази та хронологію, а не покладатися лише на коротку усну відповідь.
З точки зору кризових комунікацій, визнання при першій нагоді, що розслідування ще не завершено, є іншим підходом, ніж пряма характеристика аномального сигналу як хибного спрацювання. Перший зберігає простір для подальшої перевірки, тоді як другий може підірвати довіру ринку до з'ясування фактів. CoinDCX згодом також визнала, що розслідування старої інфраструктури зайняло певний час і що платформа могла б бути більш проактивною в поясненні ситуації зовнішньому світу.
Для бірж прозорість не вимагає публікації всіх технічних деталей на початковому етапі розслідування, але вимагає чіткого розмежування підтверджених фактів, висновків, що ще очікують перевірки, та заходів, яких вживає платформа.
Куди поділися 15,99 мільйона USDT? Відстеження коштів не тотожне поверненню активів
Згідно з розслідуванням фірми аналізу блокчейн-даних Bitquery, зловмисники переказали приблизно 15,99 мільйона USDT з близько 40 адрес TRON, пов'язаних з CoinDCX, з яких близько 15,82 мільйона USDT надійшли з однієї адреси, що становить переважну більшість загальних збитків. Розслідування також показало, що після виведення кошти були розділені та переміщені через кілька адрес, причому близько 9,63 мільйона доларів надійшли на депозитні адреси, пов'язані з OKX, Binance та Gate.
Цей шлях коштів має значення у двох аспектах.
По-перше, роздроблення коштів не означає, що відстеження на блокчейні стало неефективним. Навіть якщо активи переказуються через кілька проміжних адрес, записи транзакцій залишаються на блокчейні, і слідчі можуть частково відновити рух коштів на основі часових, сумарних та адресних кореляцій. Якщо активи потрапляють на централізовані торгові платформи з механізмами ідентифікації клієнтів, пов'язані адреси депозитів також можуть надати підказки для подальших розслідувань.
Але по-друге, відстеження на блокчейні не тотожне поверненню коштів. Потрапляння активів на адресу депозиту торгової платформи лише вказує на те, що кошти надійшли на відповідну адресу; це не доводить безпосередньо, що торгова платформа ідентифікувала кінцевого контролера, і не доводить, що всі активи були заморожені або повернуті. Остаточний результат все ще залежить від співпраці платформи, ідентифікації облікових записів, правоохоронних процедур і подальших розслідувань.
Для централізовано випущених стейблкоїнів, таких як USDT, емітент може відповідно до власних політик і застосовних законодавчих вимог заморозити конкретні адреси. Однак чи можливе заморожування, коли воно відбувається і чи покриває заморожена сума всі збитки — усе це потребує підтвердження конкретними доказами. Не можна припускати, що процес відшкодування завершено лише тому, що частина коштів надійшла на біржі.
Це також показує, що наслідки інцидентів безпеки бірж часто виходять за межі платформи, де проблема виникла спочатку. Коли кошти надходять на інші біржі, проходять через проміжні гаманці або потрапляють у кросс-чейн канали, інцидент може перетворитися на спільну проблему за участю кількох установ. Відшкодування активів залежить не лише від власних слідчих спроможностей постраждалої платформи, але й від обміну інформацією та швидкості реагування в усій галузі.
Для користувачів прозорість блокчейну може підвищити спостережуваність інциденту, але не може усунути ризик втрати активів. Публічні записи допомагають відстежувати кошти, але не можуть замінити попередній контроль ризиків.
Яка перевірка ще потрібна для обіцянки, що кошти користувачів не постраждали?
CoinDCX наголосила, що збитки цього разу будуть покриті компанією, що баланси облікових записів користувачів, поточні гаманці та торгові системи не постраждали, а також що послуги депозиту, виведення та торгівлі платформи залишаються нормальними.
Ця заява є важливою, але ринок все ще потребує розрізнення трьох різних рівнів: чи є повним баланс, відображений в облікових записах користувачів, чи має платформа фактичні активи, достатні для покриття відповідних зобов'язань, і чому кошти на задіяній старої адресі залишалися заблокованими протягом тривалого часу.
За операційної моделі централізованих бірж баланси облікових записів користувачів зазвичай відображають внутрішні бухгалтерські записи платформи і не означають, що кожен актив користувача відповідає один-до-одного незалежній адресі на блокчейні. Тому навіть якщо баланси користувачів залишаються незмінними, все ще необхідно підтвердити співвідношення між фактичними активами платформи та зобов'язаннями перед користувачами через внутрішню бухгалтерську звірку, докази активів та незалежні аудити.
CoinDCX заявила, що покриє збитки, що означає, що платформа повинна використати власні ресурси для покриття цього дефіциту фінансування. Однак чи може це зобов'язання отримати стійке визнання ринку, все ще залежить від того, чи будуть подальші розкриття достатніми, включаючи те, як обліковуються збитки, на якому етапі відмовила служба збору, чому стара адреса продовжувала отримувати кошти і чи були відремонтовані відповідні заходи контролю.
Особливо варто поставити під сумнів, чому платформа могла продовжувати зараховувати депозити на стару адресу, але не змогла своєчасно виявити аномалію, що кошти не збираються. Якщо депозит уже надійшов на обліковий запис користувача, але відповідні активи тривалий час залишаються на ризикованій адресі, то питання про наявність достатньо своєчасного механізму звірки між внутрішнім обліком і активами на блокчейні стає питанням, на яке потрібно відповісти.
Це не пряме заперечення зобов'язання CoinDCX щодо безпеки коштів користувачів, а скоріше наголос на тому, що після збитків у десятки мільйонів доларів лише заяви, що "активи користувачів не постраждали", недостатньо для повного пояснення ризиків. Більш переконливим підходом є надання перевірюваних бухгалтерських пояснень, результатів виправлення системи та заходів контролю, які можуть довести, що подібні аномалії більше не накопичуватимуться.
Конкуренція в безпеці бірж зміщується від захисту гаманців до наскрізного управління
Тенденція галузі, яку відображає інцидент CoinDCX, полягає в тому, що критерії оцінки безпеки бірж зміщуються від точкового захисту ключів до більш повного операційного управління.
Раніше, коли ринок обговорював безпеку бірж, він часто насамперед звертав увагу на те, чи зберігаються приватні ключі офлайн, чи встановлені ліміти для гарячих гаманців, чи розгорнуто мультипідпис, і чи ізольовані активи холодних гаманців від торговельної системи. Ці заходи залишаються важливими, але вони головним чином вирішують деякі проблеми в зберіганні активів і не можуть автоматично охоплювати такі сфери, як управління старими адресами, аномальний збір коштів, залежність від послуг третіх сторін, внутрішні дозволи та комунікація щодо інцидентів.
Більш зріла система безпеки повинна включати весь процес роботи гаманців від створення, активації та міграції до деактивації в управління. Для адрес, які були занедбані, але все ще можуть отримувати активи, платформа повинна чітко визначити обов'язки щодо моніторингу, встановити порогові значення аномальних балансів і запускати оповіщення та ручне втручання, коли автоматизований сервіс збору коштів виходить з ладу. Якщо стара адреса більше не має умов для безпечного обслуговування, платформа також повинна встановити чіткі межі ризику між повідомленнями користувачів, ідентифікацією депозитів і розпорядженням активами.
Водночас автоматизовані системи повинні мати можливості для виявлення несправностей, моніторингу накопичення завдань і аудиту аномальних потоків коштів. Чи система працює нормально, не слід визначати лише за тим, чи онлайн сервіс; також необхідно підтвердити, чи справді виконуються ключові бізнес-завдання. Для бірж процес переказу коштів з адрес депозитів користувачів до цільових гаманців повинен мати записи про статус, які можна незалежно перевірити.
Нарешті, управління безпекою також повинно утворювати замкнений цикл із зовнішнім розкриттям інформації. Коли виникають аномальні транзакції, платформа повинна своєчасно захистити наявні активи, а також якомога швидше пояснити користувачам масштаб інциденту, підтверджені втрати, постраждалі системи та хід розслідування. Своєчасна комунікація не може замінити технічне виправлення, але вона може зменшити витрати на довіру, спричинені подальшим поширенням невизначеності.
Цього разу втрата CoinDCX становила приблизно 15,99 мільйона USDT. Сума, безумовно, заслуговує на увагу, але довгостроковий вплив інциденту може більше залежати від того, як платформа пояснить і виправить ризики, залишені старою інфраструктурою. Для всієї індустрії криптовалютної торгівлі це також нагадування: безпека не закінчується після завершення міграції гаманців; натомість необхідно забезпечити, щоб кожна адреса, сервіс і внутрішній процес, які все ще можуть контактувати з активами користувачів, перебували в межах чіткої сфери відповідальності та контролю.
Оскільки біржі продовжують розширювати масштаб користувачів, додавати типи активів і збільшувати автоматизацію, справжня безпекова спроможність відображається не лише в тому, де зберігаються кошти, але й у тому, чи можна своєчасно виявити, заблокувати, перевірити аномалії та пояснити їх ринку в спосіб, що піддається перевірці, після їх виникнення. Чи зможе CoinDCX відновити довіру, зрештою залежатиме від того, чи зможуть подальші розслідування та виправлення відповісти на ці питання, а не лише від того, хто несе одноразову втрату.
