CoinDCX: от «ложной тревоги» Sumit Gupta до признания кражи на $16 миллионов

Индийская криптобиржа CoinDCX официально подтвердила потерю около $16 миллионов в результате атаки на свою кошелечную инфраструктуру. Самое неприятное в этой истории даже не сама сумма, а то, что буквально за несколько дней до признания сооснователь и CEO биржи Sumit Gupta публично называл сообщения о взломе «ложной тревогой». Теперь выясняется, что тревога была самой настоящей.

Как Sumit Gupta сначала назвал взлом «ложной тревогой»

Когда блокчейн-аналитики и трекер Arkham впервые заметили подозрительный отток около $16 миллионов с кошельков CoinDCX, реакция команды биржи была довольно уверенной. Sumit Gupta выступил в X и написал, что кошельки биржи «не были взломаны», а подозрительные адреса были скомпрометированы ещё в июле 2025 года, то есть, по его логике, речь шла о старой истории, которую зачем-то снова всплыла на поверхность. Sumit Gupta прямо назвал всю шумиху вокруг оттока средств «ложной тревогой» и дал понять, что пользователям не о чем беспокоиться.

Проблема в том, что буквально через пару дней та же компания опубликовала блог-пост с прямо противоположным содержанием. CoinDCX признала, что с её кошельков действительно утекло 15,99 миллиона USDT (примерно 16 миллионов долларов), и заявила, что покрывает убыток за счёт собственных средств, а не за счёт клиентских депозитов.

ZachXBT не поверил словам Sumit Gupta

Пока Sumit Gupta убеждал публику, что ничего страшного не произошло, на сцену вышел известный ончейн-расследователь ZachXBT. Он опроверг версию о «старом» взломе июля 2025 года, указав, что подозрительный кошелёк продолжал переводить пользовательские депозиты в текущий горячий кошелёк CoinDCX ещё в апреле и мае 2025-го. Это означало, что адрес был живым и активным, а не давно заброшенным остатком прошлой атаки, как пытался представить Sumit Gupta.

Выводите все средства с CoinDCX, если дорожите своими активами. Её сооснователи устраивают настоящий цирк. Они публично и в частных разговорах отрицали кражу активов, а значит либо откровенно лгали, либо проявили преступную некомпетентность.

Резкая формулировка ZachXBT быстро разлетелась по крипто-сообществу, и давление на биржу усилилось. В итоге CoinDCX пришлось признать факт кражи публично, фактически дезавуировав собственные заявления о «ложной тревоге», которые пару дней назад делал Sumit Gupta.

Куда делись 16 миллионов USDT

По официальной версии биржи, средства были выведены на сети Tron 21 октября. CoinDCX связывает инцидент со сбоем внутреннего процесса, который должен был автоматически переводить («сметать») клиентские депозиты из устаревших, уже не используемых кошельков на основной горячий кошелёк биржи. Эти «списанные в архив» кошельки остались от предыдущего крупного взлома 2025 года, и формально биржа перестала их использовать, но они продолжали получать остаточные депозиты от пользователей.

Автоматическая система, которая должна была своевременно очищать эти адреса, дала сбой, и накопившиеся на них средства оказались уязвимы. Подобные истории с ошибками в логике перевода и ротации кошельков - не редкость в крипто-индустрии: похожая проблема с доверием к механизмам подтверждения транзакций уже всплывала, например, в истории с уязвимостью Electrum, из-за которой пользователи теряли биткоины через ускорение платежа. Разница лишь в масштабе и в том, что в случае с CoinDCX речь идёт о централизованной бирже, которая сама отвечает за безопасность инфраструктуры.

Второй удар за год: от $44 млн до почти $60 млн потерь

Для CoinDCX это уже второй крупный инцидент за относительно короткий срок. В июле 2025 года биржа пережила взлом примерно на $44 миллиона, который тогда объяснили брешью на стороне сервера. После той атаки компания объявила охоту за похищенными средствами с вознаграждением, а позже был арестован сотрудник, подозреваемый в причастности к инциденту.

Складывая оба эпизода, суммарные потери CoinDCX приближаются к $60 миллионам. Для одной из крупнейших бирж Индии это серьёзный удар не только по финансам, но и по репутации, особенно с учётом того, что именно устаревшие кошельки от первого взлома стали источником проблемы во втором.

Стоит отметить, что история с «отложенными» и формально выведенными из обращения кошельками в принципе заставляет задуматься о том, как биржи управляют своей инфраструктурой хранения активов. Та же логика применима и к вопросам проверки подлинности аппаратных устройств - мы уже разбирали похожий случай, когда у Keystone украли ключ проверки подлинности, и пользователям пришлось заново учиться проверять свои устройства на предмет подделки.

Что всё это значит для пользователей CoinDCX

CoinDCX настаивает, что балансы клиентов не пострадали и что компания полностью покрыла убыток из собственных резервов. Формально это так, и для рядового пользователя биржи ситуация выглядит разрешённой. Но сама цепочка событий - сначала отрицание, потом признание - подрывает доверие к коммуникации биржи куда сильнее, чем сама сумма потерь.

Год для CoinDCX и так выдался турбулентным. Помимо двух хакерских инцидентов, биржа столкнулась с обвинениями в мошенничестве и схемах выдачи себя за представителей компании, что привело к полицейской проверке. Параллельно основатель биржи опровергал слухи о переговорах по продаже бизнеса Coinbase, которые появились после прошлогоднего взлома. Сама Coinbase тем временем активно расширяется в Южной Азии и на Ближнем Востоке, так что интерес к региону у крупных игроков точно есть.

Компания пообещала публиковать дополнительные детали по мере продвижения расследования. Но после того как Sumit Gupta уже один раз назвал реальный взлом «ложной тревогой», многим пользователям и наблюдателям будет сложно воспринимать следующие заявления биржи на веру без независимого подтверждения от ончейн-аналитиков вроде ZachXBT.

Автор

Barbados